Configurazione di TACACS+ sugli switch Catalyst 1900 e 2820

Introduzione

Il software Catalyst 1900/2820 8.x Enterprise Edition supporta TACACS+ (non XTACACS). La configurazione dell'utente del server TACACS+ o CiscoSecure per l'autenticazione è la stessa di quella degli utenti del router. Questo suggerimento tecnico descrive l'installazione di Catalyst 1900 e 2820.

Nota: il failover sui router 1900 e 2820 è implementato in modo diverso rispetto agli altri dispositivi Cisco. Se il server TACACS+ non è raggiungibile, è possibile usare le password locali o non è richiesta alcuna autenticazione (a seconda di come è configurato lo switch). Se il server TACACS+ è raggiungibile ma il daemon TACACS+ non è attivo, le password locali e il failover su no authentication non verranno utilizzate (in altre parole, lo switch verrà bloccato).

Nota: le connessioni Web HTTP vengono sempre autenticate utilizzando la password locale (non tacacs+). L'uso delle opzioni di menu non è valido quando TACACS+ è abilitato. TACACS+ è utilizzato per l'autenticazione dell'interfaccia della riga di comando.

Operazioni preliminari

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Prerequisiti

Non sono previsti prerequisiti specifici per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Procedura di configurazione

1. Dall'interfaccia della riga di comando (CLI), abilitare l'autenticazione TACACS+ per l'accesso usando il comando seguente.

   tacacs di accesso

2. Utilizzare il comando seguente per indicare allo switch dove si trova il server.

   host tacacs-server 1.1.1.1

3. Utilizzare il comando seguente per indicare allo switch la chiave condivisa.

   chiave tacacs-server cisco

4. Scegliere una delle due opzioni seguenti.

   1. Utilizzare il comando seguente per comunicare allo switch la password da utilizzare se il server TACACS+ non è più raggiungibile.

      abilitare cisco livello password 1

      Utilizzare il comando seguente per comunicare allo switch di utilizzare la password locale se il server TACACS+ non è più raggiungibile.

      password di ultima istanza di tacacs-server

   2. Utilizzare il comando seguente per comunicare allo switch di consentire l'accesso degli utenti senza password se il server TACACS+ non è più raggiungibile.

      l'ultima risorsa di tacacs-server ha avuto successo

   Prima di uscire dallo switch, collegarsi in modalità Telnet da un'altra sessione per essere certi di poter accedere usando TACACS+. Prima di uscire dallo switch, accertarsi che il server non sia raggiungibile e di poter accedere senza usare TACACS+. I passaggi rimanenti sono facoltativi.

5. Utilizzare il comando seguente per abilitare l'autenticazione TACACS+ per la modalità di abilitazione.

   abilita use-tacacs

   Nota: questo passaggio è necessario solo se gli utenti abilitati devono essere autenticati tramite il server TACACS+; è inoltre necessario che nel server sia presente una voce che consenta di eseguire questa operazione.

6. Utilizzare il comando seguente per abilitare l'autenticazione locale per la modalità abilitazione se il server TACACS+ diventa irraggiungibile.

   abilita livello password 15 cisco

   Questa password è valida solo se è configurata anche la password di ultima istanza di tacacs-server.

7. Utilizzare il comando seguente per configurare il numero di tentativi di accesso consentiti sul server TACACS+.

   numero tentativi tacacs-server

8. Utilizzare il comando seguente per impostare l'intervallo di timeout in cui il daemon del server deve rispondere (facoltativo, ma necessario in una rete lenta).

   tacacs-server timeout N

Informazioni correlate

• Supporto tecnico – Cisco Systems