Introducción
Este documento describe el comportamiento del comando aaa authentication login default local group tacacs+ en un dispositivo Cisco IOS®.
Prerequisites
Requirements
Cisco recomienda lo siguiente:
- El nuevo modelo aaa está habilitado en el dispositivo.
Componentes Utilizados
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Configurar
Nota: Utilice el Analizador de Cisco CLI del Catálogo de herramientas de Cisco para obtener más información sobre los comandos utilizados en esta sección. Solo los usuarios registrados de Cisco tienen acceso a la información y las herramientas internas de Cisco.
Configure estos comandos en el dispositivo en el modo de configuración global:
aaa new-model
aaa authentication login default local group tacacs+
Con solo aaa new model configurada, la autenticación local se aplica a todas las líneas e interfaces (excepto a la línea de consola con 0).
Aquí se aplica la lista de métodos AAA en todos los intentos de inicio de sesión en todas las líneas del dispositivo, donde se comprueba la primera base de datos local y, a continuación, si es necesario, se prueba con el servidor de Terminal Access Controller Access Control System (TACACS).
username cisco privilege 15 password 0 cisco
Base de datos de usuarios locales:
tacacs-server host 10.20.220.141
tacacs-server key cisco
El servidor TACACS ya está configurado.
Verificación
Use esta sección para confirmar que su configuración funciona correctamente.
- Habilite Debug TACACS y Debug AAA Authentication en el dispositivo bajo prueba.
RUT#show debug
General OS:
TACACS access control debugging is on
AAA Authentication debugging is on
2. Realice una telnet en el dispositivo:
RUT#show ip interface brief | exclude unassigned
Interface IP-Address OK? Method Status Protocol
FastEthernet0/1 10.197.235.96 YES DHCP up up
Loopback0 192.168.1.2 YES manual up up
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username: cisco
*Jul 23 09:34:37.023: AAA/BIND(0000001E): Bind i/f
*Jul 23 09:34:37.023: AAA/AUTHEN/LOGIN (0000001E): Pick method list 'default'
Password:
RUT>
Notará que no intentó comunicarse con el servidor TACACS ya que el nombre de usuario cisco se encontró localmente.
Ahora, si intenta utilizar una credencial que no está configurada localmente en el cuadro:
RUT#telnet 192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Username:
*Jul 23 09:36:01.099: AAA/BIND(0000001F): Bind i/f
*Jul 23 09:36:01.099: AAA/AUTHEN/LOGIN (0000001F): Pick method list 'default'
Username: cisco1
*Jul 23 09:36:11.095: TPLUS: Queuing AAA Authentication request 31 for processing
*Jul 23 09:36:11.095: TPLUS: processing authentication start request id 31
*Jul 23 09:36:11.095: TPLUS: Authentication start packet created for 31(cisco1)
*Jul 23 09:36:11.095: TPLUS: Using server 10.20.220.141
*Jul 23 09:36:11.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: Started 5 sec timeout
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out, clean up
*Jul 23 09:36:16.095: TPLUS(0000001F)/0/47A14C34: Processing the reply packet
% Authentication failed
Puede ver que intenta alcanzar el servidor TACACS 10.20.220.141. Es un comportamiento predeterminado esperado. No hay ningún nombre de usuario cisco1 configurado en el servidor TACACS; por lo tanto, muestra Authentication failed.
Si el dispositivo tiene un registro de autenticación AAA en el grupo predeterminado tacacs+ local en la configuración, su primera preferencia es TACACS. Si el TACACS es accesible, pero ningún usuario ha configurado en él, no hace fallback e intenta buscar en la base de datos local. Muestra el mensaje " Authentication failed".
Troubleshoot
Actualmente no hay información específica disponible para resolver problemas de esta configuración.
Información Relacionada
Comentarios