توجد مشكلة في محول Nexus 7000 Series مع مصادقة المستخدم عن بعد عبر SSH باستخدام حساب TACACS

خيارات التنزيل

  • PDF     (292.7 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (90.2 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (78.2 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١١ سبتمبر ٢٠١٣
معرّف المستند:116335

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يزود هذا وثيقة ال steps يتطلب in order to تحريت وتأكد أن cisco Nexus 7000 sery مفتاح يتأثر ب ال معروف برمجية خلل cisco بق id CSCud02139.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • سلسلة مبدلات Cisco Nexus 7000
  • يشمل نظام التشغيل Cisco Nexus (NX-OS) الإصدارات 5.2(5) إلى 5.2(7)
  • نظام التشغيل NX من Cisco الإصدارات 6.0(1) إلى 6.1(3) الشاملة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المشكلة

الأعراض

يتعذر على المستخدمين تسجيل الدخول عن بعد إلى سياق الجهاز الظاهري لمحول Nexus 7000 Series Virtual Device Context (VDC) باستخدام مصادقة TACACS.

وبالإضافة إلى ذلك، يتم ملاحظة هذه الرسائل في السجلات:

n7k-vdc-1# show log last 200 | grep TACACS
2013 May 13 17:17:31 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:17:46 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:18:06 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:18:12 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:18:16 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:20:26 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:20:39 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:21:50 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
2013 May 13 17:22:09 n7k-vdc-1  TACACS-3-TACACS_ERROR_MESSAGE  All servers 
failed to respond
n7k-vdc-1#

شروط

تمت مواجهة هذه المشكلة على محولات Nexus 7000 Series التي تشغل إصدارات Cisco NX-OS بين 5.2(5) و 5.2(7)، وكذلك بين 6.0.1 إلى 6.1(3).

يجب أن يستخدم VDC مصادقة TACACS، مثل هذا المثال:

n7k-vdc-1# show run tacacs+

!Command: show running-config tacacs+
!Time: Mon May 13 17:20:57 2013

version 6.1(2)
feature tacacs+

ip tacacs source-interface mgmt0
tacacs-server timeout 30
tacacs-server host 192.0.2.9 key 7 "keypassword"
aaa group server tacacs+ default
    server 192.0.2.9
    use-vrf management


n7k-vdc-1# show run aaa

!Command: show running-config aaa
!Time: Mon May 13 17:21:30 2013

version 6.1(2)
aaa authentication login default group default
aaa authorization config-commands default group default
aaa authorization commands default group default
aaa accounting default group default
no aaa user default-role
aaa authentication login error-enable
tacacs-server directed-request

استكشاف الأخطاء وإصلاحها

  1. تأكيد حالة خادم TACACS

    • تأكد من أن محول سلسلة Nexus 7000 قادر بنجاح على إختبار اتصال خادم TACACS من خلال التوجيه وإعادة التوجيه الظاهري الصحيح (VRF).
    • تأكد من أن خادم TACACS ما يزال يقوم بمصادقة المستخدمين على الأجهزة الأخرى بنجاح.
  2. التحقق من سجلات أخطاء عملية المصادقة والتفويض والمحاسبة (AAA)

    أستخدم هذا الأمر للتحقق من سجلات أخطاء عملية AAA:

    n7k-vdc-1# show system internal aaa event-history errors

    1) Event:E_DEBUG, length:54, at 786852 usecs after Mon May 13 17:22:09 2013
        [102] All Configured methods failed for default:default

    2) Event:E_DEBUG, length:53, at 786796 usecs after Mon May 13 17:22:09 2013
        [102] protocol TACACS failed with server group default

    3) Event:E_DEBUG, length:54, at 379206 usecs after Mon May 13 17:22:09 2013
        [102] All Configured methods failed for default:default

    4) Event:E_DEBUG, length:53, at 379172 usecs after Mon May 13 17:22:09 2013
        [102] protocol TACACS failed with server group default

    5) Event:E_DEBUG, length:54, at 89083 usecs after Mon May 13 17:21:51 2013
        [102] All Configured methods failed for default:default

    6) Event:E_DEBUG, length:53, at 89051 usecs after Mon May 13 17:21:51 2013
        [102] protocol TACACS failed with server group default


  3. تحقق من سجلات أخطاء عملية TACACS+

    أستخدم هذا الأمر للتحقق من سجلات أخطاء عملية TACACS+:

    n7k-vdc-1# show system internal tacacs+ event-history errors

    1) Event:E_DEBUG, length:88, at 786728 usecs after Mon May 13 17:22:09 2013
        [100] switch_tac_server:  Unreachable servers case .setting error code  for
        aaa session 0

    2) Event:E_DEBUG, length:77, at 786726 usecs after Mon May 13 17:22:09 2013
        [100] switch_tac_server:  no more server in the server group for 
         aaa session 0

    3) Event:E_DEBUG, length:103, at 786680 usecs after Mon May 13 17:22:09 2013
        [100] connect_tac_server: non blocking connect failed, switching server for
        aaa session id(0) rtvalue(3)

    4) Event:E_DEBUG, length:97, at 786677 usecs after Mon May 13 17:22:09 2013
        [100] non_blocking_connect(171): getaddrinfo(DNS cache fail) with retcode:-1
        for server:192.0.2.9

    5) Event:E_DEBUG, length:62, at 786337 usecs after Mon May 13 17:22:09 2013
        [100] tplus_encrypt(655):key is configured for this aaa session.

    6) Event:E_DEBUG, length:95, at 786287 usecs after Mon May 13 17:22:09 2013
        [100] tplus_make_acct_request(1343):Not calling the name-resolution routine
        as rem_addr is empty

    7) Event:E_DEBUG, length:63, at 786285 usecs after Mon May 13 17:22:09 2013
        [100] tplus_make_acct_request(1308):Accounting userdata:console0

    8) Event:E_DEBUG, length:63, at 786266 usecs after Mon May 13 17:22:09 2013
        [100] init_tplus_req_state_machine:Global source-interface mgmt0

    9) Event:E_DEBUG, length:48, at 785842 usecs after Mon May 13 17:22:09 2013
        [100] is_intf_up_with_valid_ip(1129):Port is up.

    10) Event:E_DEBUG, length:57, at 785812 usecs after Mon May 13 17:22:09 2013
        [100] is_intf_up_with_valid_ip(1126):Proper IOD is found.

    11) Event:E_DEBUG, length:52, at 785799 usecs after Mon May 13 17:22:09 2013
        [100] Exiting function: get_if_index_from_global_conf

    12) Event:E_DEBUG, length:66, at 785797 usecs after Mon May 13 17:22:09 2013
        [100] Function get_if_index_from_global_conf: found interface mgmt0

    13) Event:E_DEBUG, length:53, at 785783 usecs after Mon May 13 17:22:09 2013
        [100] Entering function: get_if_index_from_global_conf

    14) Event:E_DEBUG, length:68, at 785781 usecs after Mon May 13 17:22:09 2013
        [100] init_tplus_req_state_machine:Falling to globally configured one

    15) Event:E_DEBUG, length:79, at 785779 usecs after Mon May 13 17:22:09 2013
        [100] init_tplus_req_state_machine:No source-interface configured for this group


  4. تصحيح أخطاء طلبات مصادقة TACACS+

    • قم بتشغيل تصحيح أخطاء طلبات مصادقة TACACS+.
    • ينتج تصحيح أخطاء AAA هذه السجلات:

      n7k-vdc-1# debug tacacs+ aaa-request
      n7k-vdc-1# show logging logfile last 5
      2013 May 13 18:20:26.077572 tacacs: tplus_encrypt(655):key is configured 
      for this aaa session.
      2013 May 13 18:20:26.077918 tacacs: non_blocking_connect(171): getaddrinfo
      DNS cache fail) with retcode:-1 for server:192.0.2.9
      2013 May 13 18:20:26.077938 tacacs: connect_tac_server: non blocking connect
      failed, switching server for aaa session id(0) rtvalue(3)
      2013 May 13 18:20:26.077978 tacacs: switch_tac_server:  no more server in the
      server group for aaa session 0
      2013 May 13 18:20:26.077993 tacacs: switch_tac_server:  Unreachable servers
      case .setting error code  for aaa session 0


  5. تنفيذ التقاط حزمة على خادم TACACS

    يظهر التقاط حزمة على خادم TACACS أنه لا توجد حزم تصل من VDC.

  6. تنفيذ التقاط إيثاناليزر على المحول Nexus 7000 Series Switch

    يوضح التقاط إيثاناليزر أنه لا توجد حزم تخرج نحو خادم TACACS.

  7. فحص العمليات الجارية على VDC

    يعرض الأمر show proc cpu sort 33 مثيل (32 مثيل غير موجود) لعملية TACACSD قيد التشغيل.
    n7k-vdc-1# show proc cpu sort | include tacacs
    1538           16        16   1014    0.0%  tacacsd
    1855           16        10   1625    0.0%  tacacsd
    2163           16        10   1678    0.0%  tacacsd
    2339           15        23    676    0.0%  tacacsd
    3820           15        10   1595    0.0%  tacacsd
    3934           16        13   1272    0.0%  tacacsd
    4416           25         8   3211    0.0%  tacacsd
    4470           16        23    734    0.0%  tacacsd
    5577           26        12   2191    0.0%  tacacsd
    6592       969767  14589069     66    0.0%  tacacs
    6934           16        13   1297    0.0%  tacacsd
    8878           16        13   1252    0.0%  tacacsd
    8979           16        12   1345    0.0%  tacacsd
    10153           26        11   2453    0.0%  tacacsd
    10202           15         8   1888    0.0%  tacacsd
    10331           26        11   2368    0.0%  tacacsd
    10482           16        14   1190    0.0%  tacacsd
    14148           15        11   1433    0.0%  tacacsd
    14385           14        10   1496    0.0%  tacacsd
    14402           15         9   1775    0.0%  tacacsd
    20678           16         9   1785    0.0%  tacacsd
    20836           16        13   1246    0.0%  tacacsd
    21257           15        13   1212    0.0%  tacacsd
    21617           15         9   1749    0.0%  tacacsd
    22159           15        12   1328    0.0%  tacacsd
    23776           15        12   1320    0.0%  tacacsd
    24017           25         9   2788    0.0%  tacacsd
    29496           15         8   1990    0.0%  tacacsd
    29972           15        11   1368    0.0%  tacacsd
    30111           25         9   2847    0.0%  tacacsd
    30204           15         9   1721    0.0%  tacacsd
    30409           16        13   1254    0.0%  tacacsd
    32410           15         8   1876    0.0%  tacacsd


الحل

يصادف ال VDC الخلل البرمجية المعروف المعروف ب cisco بق id CSCud02139.

ينتج عن عملية TACACSD العمليات التابعة التي يتم تعليقها. يصل هذا إلى حد أقصى 32 عملية، ولا يمكن أن يتمخض أكثر من ذلك لتمرير المصادقة.

تأكيد

  1. تأكد من وجود 33 حالة من قوائم التحكم في الوصول للبنية الأساسية (TACACSD). يمكنك إستخدام الأمر show proc cpu sort | GREP - c'tacacsd" in order to عددت المثيلات.
  2. قم بإجراء التقاط إيثاناليزر، وتأكد من أن الطلب لا يترك المحول Nexus 7000 Series Switch.
  3. مطابقة رسائل السجل السابقة.

الحلول

هناك ثلاثة إحتمالات. قم بإزالة تكوين TACACS بالكامل، وأزال الميزة والتكوين وقرأهما. خيار آخر هو تنفيذ تبديل مشرف. أو يمكنك إعادة تحميل VDC.

الإصدارات التي تم حلها

  • NX-OS، الإصدار 5.2(9) والإصدارات الأحدث في قطار 5.2
  • NX-OS، الإصدار 6.1(3) والإصدارات الأحدث في قطار 6.1

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
1.0
20-Jun-2013
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Scott Laffer
    Cisco TAC Engineer.

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات