Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konventionen

Informationen zu Funktionen

Fehlerbehebungsmethode

Datenanalyse

Häufige Probleme

Zugehörige Informationen

Einführung

TACACS+ wird häufig als Authentifizierungsprotokoll für die Authentifizierung von Benutzern für Netzwerkgeräte verwendet. Immer mehr Administratoren verwenden VPN Routing and Forwarding (VRF) für die Trennung des Verwaltungsdatenverkehrs. Standardmäßig verwendet AAA in IOS die Standard-Routingtabelle, um Pakete zu senden. In diesem Dokument wird beschrieben, wie Sie TACACS+ konfigurieren und Fehler beheben, wenn sich der Server in einer VRF-Instanz befindet.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- TACACS+

- VRFs

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardwareversionen beschränkt.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Informationen zu Funktionen

Im Wesentlichen ist eine VRF-Instanz eine virtuelle Routing-Tabelle auf dem Gerät. Wenn IOS eine Routing-Entscheidung trifft, wenn die Funktion oder Schnittstelle eine VRF-Instanz verwendet, werden Routing-Entscheidungen für diese VRF-Routing-Tabelle getroffen. Andernfalls wird die globale Routing-Tabelle verwendet. In diesem Zusammenhang zeigen wir Ihnen, wie Sie TACACS+ für die Verwendung einer VRF-Instanz konfigurieren (relevante fett formatierte Konfiguration):

version 15.2

service config

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname vrfAAA

!

boot-start-marker

boot-end-marker

!

aaa new-model

!

aaa group server tacacs+ management

server-private 192.0.2.4 key cisco

server-private 192.0.2.5 key cisco

ip vrf forwarding blue

ip tacacs source-interface GigabitEthernet0/0

!

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

!

aaa session-id common

!

no ipv6 cef

!

ip vrf blue

!

no ip domain lookup

ip cef

!

interface GigabitEthernet0/0

ip vrf forwarding blue

ip address 203.0.113.2 255.255.255.0

duplex auto

speed auto

!

interface GigabitEthernet0/1

no ip address

shutdown

duplex auto

speed auto

!

ip forward-protocol nd

!

no ip http server

no ip http secure-server

!

ip route vrf blue 0.0.0.0 0.0.0.0 203.0.113.1

!

line con 0

line aux 0

line vty 0 4

transport input all

Wie Sie sehen, gibt es keine global definierten TACACS+-Server. Wenn Sie die Server zu einer VRF-Instanz migrieren, können Sie die global konfigurierten TACACS+-Server sicher entfernen.

Fehlerbehebungsmethode

1. Stellen Sie sicher, dass Sie die richtige IP-VRF-Weiterleitungsdefinition unter Ihrem AAA-Gruppenserver sowie die Quellschnittstelle für den TACACS+-Datenverkehr haben.

2. Überprüfen Sie Ihre VRF-Routing-Tabelle, und stellen Sie sicher, dass eine Route zum TACACS+-Server vorhanden ist. Im obigen Beispiel wird die VRF-Routing-Tabelle angezeigt:

vrfAAA#show ip route vrf blue

Routing Table: blue

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

+ - replicated route, % - next hop override

Gateway of last resort is 203.0.113.1 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 203.0.113.1

203.0.0.0/24 is variably subnetted, 2 subnets, 2 masks

C        203.0.113.0/24 is directly connected, GigabitEthernet0/0

L        203.0.113.2/32 is directly connected, GigabitEthernet0/0

3. Können Sie Ihren TACACS+-Server pingen? Beachten Sie, dass dies auch VRF-spezifisch sein muss:

vrfAAA#ping vrf blue 192.0.2.4

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 102.0.2.4, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms

4. Sie können den Test aa-Befehl verwenden, um die Verbindung zu überprüfen (Sie müssen am Ende die Option für den neuen Code verwenden, die Legacy funktioniert nicht):

vrfAAA#test aaa group management cisco Cisco123 new-code

Sending password

User successfully authenticated

USER ATTRIBUTES

username             "cisco"

reply-message        "password: "

Wenn die Routen vorhanden sind und Sie keine Treffer auf Ihrem TACACS+-Server sehen, stellen Sie sicher, dass die ACLs zulassen, dass der TCP-Port 49 den Server vom Router oder Switch aus erreicht. Wenn bei der Fehlerbehebung für TACACS+ ein Authentifizierungsfehler auftritt, dient die VRF-Funktion nur für das Routing des Pakets.

Datenanalyse

Wenn alles oben richtig aussieht, können aaaa und tacacs debugs aktiviert werden, um das Problem zu beheben. Beginnen Sie mit diesen Debuggen:

- Debug-Taktiken

- debuggen aaa authentication

Im Folgenden finden Sie ein Beispiel für ein Debuggen, bei dem etwas nicht richtig konfiguriert ist, z. B.:

- TACACS+-Quellschnittstelle fehlt

- ip vrf Forwarding-Befehle unter der Quellschnittstelle oder unter dem AAA-Gruppenserver fehlen

- Keine Route zum TACACS+-Server in der VRF-Routing-Tabelle

Jul 30 20:23:16.399: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:23:16.399: TPLUS: processing authentication start request id 0

Jul 30 20:23:16.399: TPLUS: Authentication start packet created for 0(cisco)

Jul 30 20:23:16.399: TPLUS: Using server 192.0.2.4

Jul 30 20:23:16.399: TPLUS(00000000)/0: Connect Error No route to host

Jul 30 20:23:16.399: TPLUS: Choosing next server 192.0.2.5

Jul 30 20:23:16.399: TPLUS(00000000)/0: Connect Error No route to host

Die Verbindung ist erfolgreich:

Jul 30 20:54:29.091: AAA/AUTHEN/LOGIN (00000000): Pick method list 'default'

Jul 30 20:54:29.091: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:54:29.091: TPLUS: processing authentication start request id 0

Jul 30 20:54:29.091: TPLUS: Authentication start packet created for 0(cisco)

Jul 30 20:54:29.091: TPLUS: Using server 192.0.2.4

Jul 30 20:54:29.091: TPLUS(00000000)/0/NB_WAIT/2B2DC1AC: Started 5 sec timeout

Jul 30 20:54:29.095: TPLUS(00000000)/0/NB_WAIT: socket event 2

Jul 30 20:54:29.095: TPLUS(00000000)/0/NB_WAIT: wrote entire 25 bytes request

Jul 30 20:54:29.095: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.095: TPLUS(00000000)/0/READ: Would block while reading

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: read entire 12 header bytes (expect 16 bytes data)

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: read entire 28 bytes response

Jul 30 20:54:29.099: TPLUS(00000000)/0/2B2DC1AC: Processing the reply packet

Jul 30 20:54:29.099: TPLUS: Received authen response status GET_PASSWORD (8)

Jul 30 20:54:29.099: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:54:29.099: TPLUS: processing authentication continue request id 0

Jul 30 20:54:29.099: TPLUS: Authentication continue packet generated for 0

Jul 30 20:54:29.099: TPLUS(00000000)/0/WRITE/2B2DC1AC: Started 5 sec timeout

Jul 30 20:54:29.099: TPLUS(00000000)/0/WRITE: wrote entire 25 bytes request

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: read entire 12 header bytes (expect 6 bytes data)

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: read entire 18 bytes response

Jul 30 20:54:29.103: TPLUS(00000000)/0/2B2DC1AC: Processing the reply packet

Jul 30 20:54:29.103: TPLUS: Received authen response status PASS (2)

Häufige Probleme

Das häufigste Problem ist die Konfiguration. Oft legt der Administrator den AAA-Gruppenserver ein, aktualisiert die aaa-Zeilen jedoch nicht so, dass sie auf die Servergruppe zeigen. Anstatt:

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

Der Administrator hat Folgendes eingegeben:

aaa authentication login default grout tacacs+ local

aaa authorization exec default group tacacs+ if-authenticated

aaa accounting exec default start-stop group tacacs+

Aktualisieren Sie einfach die Konfiguration mit der richtigen Servergruppe.

Ein zweites häufiges Problem ist, dass ein Benutzer diesen Fehler erhält, wenn er versucht, die IP-VRF-Weiterleitung unter der Servergruppe hinzuzufügen:

% Unknown command or computer name, or unable to find computer address

Dies bedeutet, dass der Befehl nicht gefunden wurde. Wenn dies der Fall ist, stellen Sie sicher, dass die IOS-Version VRF TACACS+ unterstützt. Hier einige gängige Mindestversionen:

- 12,3(7)T

- 12.2(33)SRA1

- 12.2(33)SXI

- 12.2(33)SXH4

- 12.2(54)SG

Zugehörige Informationen

- Technischer Support und Dokumentation - Cisco Systems