Problemen oplossen en TACACS+
Inhoud
Inleiding
Het terminaltoegangscontrolesysteem voor toegangscontrole (TACACS+) biedt toegangscontrole voor routers, netwerktoegangsservers (NAS’s) of andere apparaten via een of meer daemonservers. Het versleutelt al het verkeer tussen de NAS en de daemon met TCP-communicatie voor een betrouwbare levering.
Dit document bevat informatie over het opsporen en verhelpen van problemen voor de Content Services-switch (CSS) en TACACS+. U kunt de CSS configureren als een client voor een TACACS+ server, met een methode voor verificatie van gebruikers en autorisatie en accounting van configuratie- en niet-configuratie opdrachten. Deze optie is beschikbaar in Webex 5.03.
N.B.: Raadpleeg De CSS configureren als een client voor een TACACS+ server voor meer informatie.
Voorwaarden
Vereisten
Er zijn geen specifieke vereisten van toepassing op dit document.
Gebruikte componenten
Dit document is niet beperkt tot specifieke software- en hardware-versies.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Conventies
Probleem
Wanneer u probeert om met een TACACS+-gebruiker in te loggen, werkt de inlognaam niet.
Oplossing en bug van opdrachten
In het algemeen, wanneer TACACS+ authenticatie niet met een CSS werkt, is het probleem meestal een configuratieprobleem op of de CSS of de TACACS+ server. Het eerste dat je moet controleren is of je de CSS hebt ingesteld als client voor een TACACS+ server.
Wanneer u dit hebt gecontroleerd, is er extra houtkap die u op de CSS kunt gebruiken om het probleem te bepalen. Voltooi deze stappen om de houtkap aan te zetten.
Voer in de CSS-modus debug in.
CSS# llama CSS(debug)# mask tac 0x3 CSS(debug)# exit CSS# configure CSS(config)# logging subsystem security level debug-7 CSS(config)# logging subsystem netman level info-6 CSS(config)# exit CSS# logon !--- This logs messages to the screen.
Om houtkap uit te schakelen geeft u deze opdrachten uit:
CSS# llama CSS(debug)# mask tac 0x0 CSS(debug)# exit CSS# no logon
Deze berichten zijn te vinden op:
SEP 10 08:30:10 5/1 99 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0c SEP 10 08:30:10 5/1 100 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary SEP 10 08:30:10 5/1 101 SECURITY-7: Security Manager sending error 7 reply to ller 20201c00
Deze berichten geven aan dat de CSS probeert te communiceren met de TACACS+ server, maar de TACACS+ server verwerpt de CSS. fout 7 betekent dat de TACACS+-toets die in de CSS is ingevoerd, niet overeenkomt met de toets op de TACACS+ server.
Een succesvolle inloging via een TACACS+ server toont dit bericht (let op het verzenden van succes 0 antwoord):
SEP 10 08:31:46 5/1 107 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0d SEP 10 08:31:46 5/1 108 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary SEP 10 08:31:47 5/1 109 SECURITY-7: Security Manager sending success 0 reply to caller 20201c00 SEP 10 08:31:47 5/1 110 SECURITY-7: SECMGR:SecurityMgrProc:Try Done, Send 0x2020 4b0d
Gemeenschappelijke fouten
De meest voorkomende fout bij het instellen van een CSS om met een TACACS+ server te werken is eigenlijk heel eenvoudig. Deze opdracht vertelt de CSS welke sleutel moet worden gebruikt om met de TACACS+ server te communiceren:
CSS(config)# tacacs-server key system enterkeyhere
Deze toets kan worden versleuteld met een duidelijke tekst of DES. De duidelijke teksttoets is DES versleuteld voordat de toets in de actieve configuratie is geplaatst. Om een duidelijke tekst te maken, plaatst u deze tussen aanhalingstekens. Om het DES gecodeerd te maken, gebruik geen quotes. Belangrijk is om te weten of de TACACS+-toets DES versleuteld is of dat de toets duidelijk is. Nadat u de opdracht hebt afgegeven, past u de toets van de CSS aan op de toets die de TACACS+ server gebruikt.
Feedback