Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Verificar

Troubleshoot

Informações Relacionadas

Introduction

Este documento descreve o comportamento do comando aaa authentication login default local group tacacs+ em um dispositivo Cisco IOS®.

Prerequisites

Requirements

A Cisco recomenda que:

- O aaa new-model é ativado no dispositivo.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Observação: use o Cisco CLI Analyzer do Cisco Tool Catalog para obter mais informações sobre os comandos usados nesta seção. Somente usuários registrados da Cisco têm acesso a ferramentas e informações internas da Cisco.

Configure estes comandos no dispositivo no modo de configuração global:

aaa new-model

aaa authentication login default local group tacacs+

Com apenas  aaa new model configurada, a autenticação local é aplicada a todas as linhas e interfaces (exceto line con 0 da linha do console).

Aqui, a lista de métodos AAA é aplicada em todas as tentativas de login em todas as linhas do dispositivo, onde o primeiro banco de dados local é verificado e, em seguida, se necessário, o servidor TACACS (Terminal Access Controller Access Control System) é tentado.

username cisco privilege 15 password 0 cisco

Banco de dados de usuário local:

tacacs-server host 10.20.220.141

tacacs-server key cisco

O servidor TACACS agora está configurado.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

1. Habilite Debug TACACS e Debug AAA Authentication no dispositivo em teste.

RUT#show debug

General OS:

TACACS access control debugging is on

AAA Authentication debugging is on

2. Execute um telnet no dispositivo:

RUT#show ip interface brief | exclude unassigned

Interface                  IP-Address      OK? Method Status                Protocol

FastEthernet0/1            10.197.235.96   YES DHCP   up                    up

Loopback0                  192.168.1.2     YES manual up                    up

RUT#telnet 192.168.1.2

Trying 192.168.1.2 ... Open

User Access Verification

Username: cisco

*Jul 23 09:34:37.023: AAA/BIND(0000001E): Bind i/f

*Jul 23 09:34:37.023: AAA/AUTHEN/LOGIN (0000001E): Pick method list 'default'

Password:

RUT>

Você percebe que ele não tentou acessar o servidor TACACS, pois o nome de usuário cisco foi encontrado localmente.

Agora, se você tentar usar uma credencial que não esteja configurada localmente na caixa:

RUT#telnet 192.168.1.2

Trying 192.168.1.2 ... Open

User Access Verification

Username:

*Jul 23 09:36:01.099: AAA/BIND(0000001F): Bind i/f

*Jul 23 09:36:01.099: AAA/AUTHEN/LOGIN (0000001F): Pick method list 'default'

Username: cisco1

*Jul 23 09:36:11.095: TPLUS: Queuing AAA Authentication request 31 for processing

*Jul 23 09:36:11.095: TPLUS: processing authentication start request id 31

*Jul 23 09:36:11.095: TPLUS: Authentication start packet created for 31(cisco1)

*Jul 23 09:36:11.095: TPLUS: Using server 10.20.220.141

*Jul 23 09:36:11.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: Started 5 sec timeout

*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out

*Jul 23 09:36:16.095: TPLUS(0000001F)/0/NB_WAIT/47A14C34: timed out, clean up

*Jul 23 09:36:16.095: TPLUS(0000001F)/0/47A14C34: Processing the reply packet

% Authentication failed

Você pode ver que ele tenta acessar o servidor TACACS 10.20.220.141. É um comportamento padrão esperado. Não há um nome de usuário cisco1 configurado no servidor TACACS, portanto, mostra Authentication failed.

Se o dispositivo tiver um log de autenticação AAA no grupo padrão tacacs+ local na configuração, sua primeira preferência será TACACS. Se o TACACS estiver acessível, mas nenhum usuário tiver configurado nele, ele não fará fallback e tentará pesquisar no banco de dados local. Ele exibe a mensagem Authentication failed .

Troubleshoot

No momento, não há informações específicas disponíveis para solucionar esse problema de configuração.

Informações Relacionadas

- Configurar AAA básico em um servidor de acesso

- Suporte técnico e downloads da Cisco