Troubleshooting de CSS e TACACS+
Índice
Introdução
O protocolo TACACS+ (Terminal Access Controller Access Control System) fornece controle de acesso para os roteadores, NASs (Network Access Servers) ou outros dispositivos por meio de um ou mais servidores daemon. Cifra todo o tráfego entre o NAS e o demônio que usa comunicações TCP para a entrega confiável.
Este documento oferece informações para a análise de falhas dos CSS (Switch de serviços de conteúdo) e do TACACS+. Você pode configurar o CSS como um cliente do servidor TACACS+, fornecendo um método de autenticação de usuários, bem como uma autorização e contabilização dos comandos de configuração e não-configuração. Esta característica está disponível em WebNS 5.03.
Nota: Refira configurar o CSS como um cliente de um server TACACS+ para mais informação.
Pré-requisitos
Requisitos
Não existem requisitos específicos para este documento.
Componentes Utilizados
Este documento não se restringe a versões de software e hardware específicas.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.
Convenções
Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.
Problema
Quando você tenta entrar ao CSS com um usuário TACACS+, o início de uma sessão não trabalha.
Comandos solution e debug
Geralmente, quando a autenticação TACACS+ não trabalha com um CSS, o problema é geralmente um problema de configuração no CSS ou no server TACACS+. A primeira coisa que você precisa de verificar é se você configurou o CSS como um cliente de um server TACACS+.
Quando você verificou este, há um registro adicional esse você pode usar-se no CSS a fim determinar o problema. Termine estas etapas para girar sobre o registro.
No CSS, entre no modo de depuração.
CSS# llama CSS(debug)# mask tac 0x3 CSS(debug)# exit CSS# configure CSS(config)# logging subsystem security level debug-7 CSS(config)# logging subsystem netman level info-6 CSS(config)# exit CSS# logon !--- This logs messages to the screen.
A fim desabilitar o registro, emita estes comandos:
CSS# llama CSS(debug)# mask tac 0x0 CSS(debug)# exit CSS# no logon
Estas mensagens podem aparecer:
SEP 10 08:30:10 5/1 99 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0c SEP 10 08:30:10 5/1 100 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary SEP 10 08:30:10 5/1 101 SECURITY-7: Security Manager sending error 7 reply to ller 20201c00
Estas mensagens indicam que o CSS tenta se comunicar com o server TACACS+, mas o server TACACS+ rejeita o CSS. o erro 7 significa que a chave TACACS+ incorporada ao CSS não combina a chave no server TACACS+.
Um login bem-sucedido através de um server TACACS+ mostra esta mensagem (note o sucesso de emissão 0 respostas):
SEP 10 08:31:46 5/1 107 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0d SEP 10 08:31:46 5/1 108 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary SEP 10 08:31:47 5/1 109 SECURITY-7: Security Manager sending success 0 reply to caller 20201c00 SEP 10 08:31:47 5/1 110 SECURITY-7: SECMGR:SecurityMgrProc:Try Done, Send 0x2020 4b0d
Erros comuns
A maioria de erro comum quando você estabelece um CSS para trabalhar com um server TACACS+ é realmente muito simples. Este comando diz ao CSS que chave a se usar para se comunicar com o server TACACS+:
CSS(config)# tacacs-server key system enterkeyhere
Esta chave pode ser texto claro ou DES cifrada. A chave do texto claro é DES cifrada antes que a chave esteja colocada na configuração running. Para fazer um texto claro chave, põe-no nas citações. Para fazer-lhe o DES cifrado, não use citações. O importante é saber se a chave TACACS+ é DES cifrada ou se a chave é texto claro. Depois que você emite o comando, combine a chave do CSS à chave que o server TACACS+ usa.
Feedback