TACACS + - Cisco Router - Failover para o banco de dados local não está funcionando como deveria

Question

Eu tenho o TACACS + funcionando e agora estou tentando configurá-lo para que o failover ocorra localmente se o servidor TACACS + não estiver disponível.

Meu objetivo é verificar primeiro o servidor TACACS e, em seguida, fazer o failover se ele não puder ser contatado.

Entendo que a linha de configuração abaixo conseguiria isso, com a palavra "local" vindo DEPOIS do comando "group tacacs +" para conseguir isso:

login de autenticação do aaa grupo de tacacs do vtymethod + local

Teste: desativo o serviço TACACS no servidor e tento autenticar com um usuário local e sou informado de que o usuário não está em um grupo (como se estivesse sendo rejeitado pelo TACACS).

Eu posso alcançar o objetivo final conforme indicado acima com a seguinte linha de comando:

login de autenticação aaa vtymethod tacacs de grupo local +

Para que ele verifique se o usuário está primeiramente disponível localmente primeiro ... foi SEMPRE meu entendimento que colocá-lo em último lugar permitiria o failover e gostaria que o TACACS fosse verificado primeiro ...

Alguma dica de onde estou indo errado?

    

Answer 1

Na verdade, eu já estou fazendo isso com uma variedade de switches e roteadores da Cisco. Aqui estão as linhas de código relevantes das configurações do IOS.

aaa new-model
aaa authentication login default group tacacs+ local
tacacs-server host **redacted**
tacacs-server directed-request
tacacs-server **redacted**

Como você pode ver, sim, você segue "tacacs +" com "local".

Quanto tempo leva o failover, quando você tenta autenticar a fonte TACACS deve estar inacessível pelo roteador por pelo menos 15 segundos (5 segundos para tempo limite e 3 tentativas de contatar o servidor) antes que a fonte de autenticação mude para local . link

    

Answer 2

A palavra-chave local no final está correta para o failover.

O problema é que o failover não é instantâneo e leva até 30 segundos para ocorrer.

Claramente, durante o teste, eu não estava esperando o tempo suficiente para perceber que o servidor TACACS não estava disponível (embora eu achasse que o mecanismo fosse mais como check tacacs, falha, falha)

    

Answer 3

aaa novo modelo

login de autenticação aaa {método} grupo {server} {fallback}

Sim, o substituto deve ser 'local' para usar o banco de dados local. Provavelmente, o guia tac plus dev pode responder sua pergunta.

CONFIGURANDO USUÁRIOS E GRUPOS TACACS +

Cada usuário pode pertencer a um grupo (mas apenas um grupo). Cada grupo pode, por sua vez, pertencer a outro grupo e assim ad infinitum. Usuários e grupos são declarados da seguinte maneira. Aqui nós declaramos dois usuários "fred" e "lily", e dois grupos, "admin" e "staff".

Fred é um membro do grupo "admin" e o grupo "admin" é, por sua vez, um membro do grupo "staff". Lily não é membro de nenhum grupo.

user = lily {     # user lily não é membro de nenhum grupo     # e não tem mais nada configurado ainda }

user = fred {     # fred é um membro do grupo admin     member = admin }

group = admin {     # group admin é um membro da equipe do grupo     membro = equipe }

grupo = equipe {     # equipe do grupo não é membro de nenhum grupo } RECURSÃO E GRUPOS Em geral, quando o daemon procura valores, por ex. senhas, ele procurará primeiro para ver se o usuário tem sua própria senha. Caso contrário, verificar se ela pertence a um grupo e, em caso afirmativo, se o grupo tem uma senha definida. Caso contrário, esse processo continua pela hierarquia de grupos (um grupo pode ser um membro de outro grupo) até que um valor seja encontrado ou não haja mais grupos. Este processo recursivo ocorre para pesquisas de datas de validade, para pap, arap e chap "segredos" e também para parâmetros de autorização (ver adiante).

Uma técnica típica de configuração é, portanto, colocar os usuários em grupos e especificar quantas características do grupo forem possíveis na declaração de grupo. Em seguida, declarações de usuário individuais podem ser usadas para substituir as configurações do grupo para usuários selecionados, conforme necessário.

link

    

Answer 4

Pelo que me lembro, local e LOCAL para Cisco são duas coisas diferentes.

local se referirá a um grupo de objetos chamado como tal.

LOCAL refere-se ao banco de dados do usuário real armazenado localmente no dispositivo Cisco.

Portanto, seu comando deve ser lido da seguinte forma:

aaa authentication login vtymethod group tacacs+ LOCAL

Desculpe, parece que isso é verdade apenas em dispositivos ASA ...