Einführung
In diesem Dokument wird das Verhalten des Befehls "login local" erläutert, wenn Authentication, Authorization Accounting (AAA) auf einem Router aktiviert oder deaktiviert ist.
Voraussetzungen
Anforderungen
Cisco empfiehlt, über grundlegende Kenntnisse der folgenden Themen zu verfügen:
- AAA-Konfiguration auf Cisco Routern
- Radius/TACACS
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf den Tests in verschiedenen Cisco IOS Versionen 12.2(22), 12.4T, 15.1M, 15.3M usw. Dieses Dokument ist jedoch nicht auf bestimmte Software- und Hardwareversionen beschränkt.
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Konfigurieren
Die folgende Mindestkonfiguration ist erforderlich, um dieses Verhalten zu überprüfen:
- Mindestens ein RADIUS-Server (Remote Authentication Dial-In User Service) oder TACACS+-Server (Terminal Access Controller Access Control System) ist vom getesteten Router aus erreichbar.
- Der getestete Router wird als Client des AAA-Servers erkannt.
- Auf dem Cisco Router/Switch und den Remote-AAA-Servern wird derselbe vorinstallierte geheime Schlüssel konfiguriert.
- Globaler Pool von RADIUS-Servern oder Named Subset von RADIUS- oder TACACS+-Servern, die auf dem getesteten Router konfiguriert sind.
- Lokale Benutzerdatenbank, die auf dem getesteten Router konfiguriert wurde.
Überprüfen
Wenn "login local" unter "line vty x" konfiguriert wird, können sich Benutzer mit dem lokalen Benutzernamen und Kennwort anmelden, die auf dem Router konfiguriert sind. Wenn "aaa new-model" konfiguriert ist, gibt es unter "line vty x" keine Konfiguration, da jetzt die Standardanmeldemethode AAA ist.
Nachdem die Konfiguration gespeichert und AAA mithilfe von "no aaa new model" entfernt wurde, wechselt die Anmeldungsmethode zurück zur Zeilenauthentifizierung. Bei der Verbindungsverauthentifizierung sucht der Router lediglich nach dem Leitungskennwort und nicht nach dem konfigurierten globalen Benutzernamen-Kennwort. Jetzt wird unter der Zeile vty x nicht mehr "login local" angezeigt, die vor der Aktivierung von AAA konfiguriert wurde, sondern "login".
Hinweis: Die Deaktivierung von AAA mit dem Hinweis "Kein neues Modell" wird nicht empfohlen.
Die folgenden Schritte zeigen dieses Verhalten im Detail:
Login local configured on router:
Router#show run | begin line vty
line vty 0 4
login local
Enable AAA on router:
Router(config)#aaa new-model
Router#show run | begin line vty
line vty 0 4
Save the configuration
Router#wr
Building configuration...
[OK]
Disable AAA
Router#conf t
Router(config)#no aaa new-model
Changing configuration back to no aaa new-model is not supported.
Continue?[confirm]
Check login method
Router#show run | begin line vty
line vty 0 4
login
Schlussfolgerung
Wenn Sie "AAA new-model" entfernen, lautet die Standardmethode "login" unter line und nicht "login local". Dieses Verhalten wird in allen Cisco IOS-Versionen beobachtet.
Feedback