Introduzione
Questo documento descrive il comportamento del comando aaa authentication login default local group tacacs+ su un dispositivo Cisco IOS®.
Prerequisiti
Requisiti
Cisco consiglia:
- Il nuovo modello aaa è abilitato sul dispositivo.
Componenti usati
Il documento può essere consultato per tutte le versioni software o hardware.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Configurazione
Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare Cisco CLI Analyzer dal Cisco Tool Catalog. Solo gli utenti Cisco registrati possono accedere agli strumenti e alle informazioni interne di Cisco.
Configurare questi comandi sul dispositivo in modalità di configurazione globale:
aaa new-model
aaa authentication login default local group tacacs+
Solo con aaa new model configurata, l'autenticazione locale viene applicata a tutte le linee e interfacce (ad eccezione della linea della console con 0).
In questo caso, l'elenco dei metodi AAA viene applicato a tutti i tentativi di accesso su tutte le righe del dispositivo, dove viene controllato il primo database locale e quindi, se necessario, viene eseguito un tentativo di accesso al server TACACS (Terminal Access Controller Access Control System).
username cisco privilege 15 password 0 cisco
Database utente locale:
tacacs-server host 10.20.220.141
tacacs-server key cisco
Il server TACACS è ora configurato.
Verifica
Per verificare che la configurazione funzioni correttamente, consultare questa sezione.
- Abilitare l'autenticazione Debug TACACS e Debug AAA sul dispositivo sottoposto al test.
RUT#show debug
General OS:
TACACS access control debugging is on
AAA Authentication debugging is on
2. Eseguire una connessione telnet sul dispositivo:
RUT#show ip interface brief | exclude unassigned
Interface IP-Address OK? Method Status Protocol
FastEthernet0/1 10.197.235.96 YES DHCP up up
Loopback0 192.168.1.2 YES manual up up
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username: cisco
*Jul 23 09:34:37.023: AAA/BIND(0000001E): Bind i/f
*Jul 23 09:34:37.023: AAA/AUTHEN/LOGIN (0000001E): Pick method list 'default'
Password:
RUT>
Si noti che non è stato effettuato alcun tentativo di raggiungere il server TACACS perché il nome utente cisco è stato trovato localmente.
Se ora si tenta di utilizzare una credenziale non configurata localmente nella casella:
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username:
*Jul 23 09:36:01.099: AAA/BIND(0000001F): Bind i/f
*Jul 23 09:36:01.099: AAA/AUTHEN/LOGIN (0000001F): Pick method list 'default'
Username: cisco1
*Jul 23 09:36:11.095: TPLUS: Queuing AAA Authentication request 31 for processing
*Jul 23 09:36:11.095: TPLUS: processing authentication start request id 31
*Jul 23 09:36:11.095: TPLUS: Authentication start packet created for 31(cisco1)
*Jul 23 09:36:11.095: TPLUS: Using server 10.20.220.141
*Jul 23 09:36:11.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: Started 5 sec timeout
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out, clean up
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/47A14C34: Processing the reply packet
% Authentication failed
Come si può vedere, cerca di raggiungere il server TACACS 10.20.220.141. Si tratta di un comportamento predefinito previsto. Non è stato configurato alcun nome utente cisco1 sul server TACACS, pertanto viene visualizzato Autenticazione non riuscita.
Se il dispositivo ha un log di autenticazione AAA nel gruppo predefinito tacacs+ locale nella configurazione, la prima preferenza è TACACS. Se TACACS è raggiungibile ma non è stato configurato alcun utente, non esegue il fallback e tenta di eseguire la ricerca nel database locale. Viene visualizzato il messaggio Autenticazione non riuscita.
Risoluzione dei problemi
Non sono attualmente disponibili informazioni specifiche per risolvere i problemi relativi a questa configurazione.
Informazioni correlate
Feedback