Segurança e VPN : Terminal Access Controller Access Control System (TACACS+)

Troubleshooting de CSS e TACACS+

19 Setembro 2015 - Tradução por Computador
Outras Versões: Versão em PDFpdf | Inglês (22 Agosto 2015) | Feedback


Índice


Introdução

O protocolo TACACS+ (Terminal Access Controller Access Control System) fornece controle de acesso para os roteadores, NASs (Network Access Servers) ou outros dispositivos por meio de um ou mais servidores daemon. Cifra todo o tráfego entre o NAS e o demónio que usa comunicações TCP para a entrega confiável.

Este documento oferece informações para a análise de falhas dos CSS (Switch de serviços de conteúdo) e do TACACS+. Você pode configurar o CSS como um cliente do servidor TACACS+, fornecendo um método de autenticação de usuários, bem como uma autorização e contabilização dos comandos de configuração e não-configuração. Esta característica está disponível em WebNS 5.03.

Nota: Refira configurar o CSS como um cliente de um server TACACS+ para mais informação.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Convenções

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Problema

Quando você tenta entrar ao CSS com um usuário TACACS+, o início de uma sessão não trabalha.

Comandos solution e debug

Geralmente, quando a autenticação TACACS+ não trabalha com um CSS, o problema é geralmente um problema de configuração no CSS ou no server TACACS+. A primeira coisa que você precisa de verificar é se você configurou o CSS como um cliente de um server TACACS+.

Quando você verificou este, há um registo adicional esse você pode usar-se no CSS a fim determinar o problema. Termine estas etapas para girar sobre o registo.

No CSS, entre no modo de depuração.

CSS# llama
CSS(debug)# mask tac 0x3 
CSS(debug)# exit 
CSS# configure 
CSS(config)# logging subsystem security level debug-7 
CSS(config)# logging subsystem netman level info-6 
CSS(config)# exit 
CSS# logon    

!--- This logs messages to the screen.
 

A fim desabilitar o registo, emita estes comandos:

CSS# llama 
CSS(debug)# mask tac 0x0 
CSS(debug)# exit 
CSS# no logon 

Estas mensagens podem aparecer:

SEP 10 08:30:10 5/1 99 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0c 
SEP 10 08:30:10 5/1 100 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary 
SEP 10 08:30:10 5/1 101 SECURITY-7: Security Manager sending error 7 reply to 
ller 20201c00 

Estas mensagens indicam que o CSS tenta se comunicar com o server TACACS+, mas o server TACACS+ rejeita o CSS. o erro 7 significa que a chave TACACS+ incorporada ao CSS não combina a chave no server TACACS+.

Um login bem-sucedido através de um server TACACS+ mostra esta mensagem (note o sucesso de emissão 0 respostas):

SEP 10 08:31:46 5/1 107 SECURITY-7: SECMGR:SecurityAuth:Request from 0x20204b0d 
SEP 10 08:31:46 5/1 108 SECURITY-7: SECMGR:SecurityMgrProc:Try Primary 
SEP 10 08:31:47 5/1 109 SECURITY-7: Security Manager sending success 0 reply to 
caller 20201c00 

SEP 10 08:31:47 5/1 110 SECURITY-7: SECMGR:SecurityMgrProc:Try Done, Send 0x2020 
4b0d 

Erros comuns

A maioria de erro comum quando você estabelece um CSS para trabalhar com um server TACACS+ é realmente muito simples. Este comando diz ao CSS que chave a se usar para se comunicar com o server TACACS+:

CSS(config)# tacacs-server key system enterkeyhere

Esta chave pode ser texto claro ou DES cifrada. A chave do texto claro é DES cifrada antes que a chave esteja colocada na configuração running. Para fazer um texto claro chave, põe-no nas citações. Para fazer-lhe o DES cifrado, não use citações. O importante é saber se a chave TACACS+ é DES cifrada ou se a chave é texto claro. Depois que você emite o comando, combine a chave do CSS à chave que o server TACACS+ usa.

Discussões relacionadas da comunidade de suporte da Cisco

A Comunidade de Suporte da Cisco é um fórum onde você pode perguntar e responder, oferecer sugestões e colaborar com colegas.


Informações Relacionadas


Document ID: 27000