Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Información sobre la Función

Metodología de solución de problemas

Análisis de datos

Problemas Comunes

Información Relacionada

Introducción

TACACS+ se utiliza intensamente como protocolo de autenticación para autenticar a los usuarios en los dispositivos de red. Cada vez más administradores separan el tráfico de gestión mediante el routing y el reenvío de VPN (VRF). De forma predeterminada, AAA en IOS utiliza la tabla de ruteo predeterminada para enviar paquetes. Este documento describe cómo configurar y resolver problemas de TACACS+ cuando el servidor está en un VRF.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- TACACS+

- VRF

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

Información sobre la Función

Básicamente, un VRF es una tabla de ruteo virtual en el dispositivo. Cuando IOS toma una decisión de ruteo si la función o interfaz está utilizando un VRF, las decisiones de ruteo se toman en relación con esa tabla de ruteo VRF. De lo contrario, la función utiliza la tabla de ruteo global. Teniendo esto en cuenta, aquí está cómo configurar TACACS+ para utilizar un VRF (configuración relevante en negrita):

version 15.2

service config

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname vrfAAA

!

boot-start-marker

boot-end-marker

!

aaa new-model

!

aaa group server tacacs+ management

server-private 192.0.2.4 key cisco

server-private 192.0.2.5 key cisco

ip vrf forwarding blue

ip tacacs source-interface GigabitEthernet0/0

!

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

!

aaa session-id common

!

no ipv6 cef

!

ip vrf blue

!

no ip domain lookup

ip cef

!

interface GigabitEthernet0/0

ip vrf forwarding blue

ip address 203.0.113.2 255.255.255.0

duplex auto

speed auto

!

interface GigabitEthernet0/1

no ip address

shutdown

duplex auto

speed auto

!

ip forward-protocol nd

!

no ip http server

no ip http secure-server

!

ip route vrf blue 0.0.0.0 0.0.0.0 203.0.113.1

!

line con 0

line aux 0

line vty 0 4

transport input all

Como puede ver, no hay servidores TACACS+ definidos globalmente. Si está migrando los servidores a un VRF, puede quitar con seguridad los servidores TACACS+ configurados globalmente.

Metodología de solución de problemas

1. Asegúrese de tener la definición de reenvío de vrf ip adecuada en su servidor de grupo aaa, así como la interfaz de origen para el tráfico TACACS+.

2. Verifique su tabla de ruteo vrf y asegúrese de que haya una ruta a su servidor TACACS+. El ejemplo anterior se utiliza para mostrar la tabla de ruteo vrf:

vrfAAA#show ip route vrf blue

Routing Table: blue

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

+ - replicated route, % - next hop override

Gateway of last resort is 203.0.113.1 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 203.0.113.1

203.0.0.0/24 is variably subnetted, 2 subnets, 2 masks

C        203.0.113.0/24 is directly connected, GigabitEthernet0/0

L        203.0.113.2/32 is directly connected, GigabitEthernet0/0

3. ¿Puede hacer ping en su servidor TACACS+? Recuerde que esto también debe ser específico de VRF:

vrfAAA#ping vrf blue 192.0.2.4

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 102.0.2.4, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms

4. Puede utilizar el comando test aaa para verificar la conectividad (debe utilizar la opción new-code al final, el heredado no funciona):

vrfAAA#test aaa group management cisco Cisco123 new-code

Sending password

User successfully authenticated

USER ATTRIBUTES

username             "cisco"

reply-message        "password: "

Si las rutas están en su lugar y no ve ningún resultado en su servidor TACACS+, asegúrese de que las ACL permitan que el puerto TCP 49 llegue al servidor desde el router o el switch. Si obtiene un error de autenticación para resolver problemas de TACACS+ como normal, la función VRF es sólo para el ruteo del paquete.

Análisis de datos

Si todo lo anterior parece correcto, las depuraciones aaa y tacacs se pueden habilitar para solucionar el problema. Comience con estas depuraciones:

- debug tacacs

- debug aaa authentication

A continuación se muestra un ejemplo de una depuración en la que algo no está configurado correctamente, como pero sin limitarse a:

- Falta la interfaz de origen TACACS+

- Falta el comando ip vrf forwarding en la interfaz de origen o en el servidor de grupo aaa

- No hay ruta al servidor TACACS+ en la tabla de ruteo VRF

Jul 30 20:23:16.399: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:23:16.399: TPLUS: processing authentication start request id 0

Jul 30 20:23:16.399: TPLUS: Authentication start packet created for 0(cisco)

Jul 30 20:23:16.399: TPLUS: Using server 192.0.2.4

Jul 30 20:23:16.399: TPLUS(00000000)/0: Connect Error No route to host

Jul 30 20:23:16.399: TPLUS: Choosing next server 192.0.2.5

Jul 30 20:23:16.399: TPLUS(00000000)/0: Connect Error No route to host

Esta es una conexión correcta:

Jul 30 20:54:29.091: AAA/AUTHEN/LOGIN (00000000): Pick method list 'default'

Jul 30 20:54:29.091: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:54:29.091: TPLUS: processing authentication start request id 0

Jul 30 20:54:29.091: TPLUS: Authentication start packet created for 0(cisco)

Jul 30 20:54:29.091: TPLUS: Using server 192.0.2.4

Jul 30 20:54:29.091: TPLUS(00000000)/0/NB_WAIT/2B2DC1AC: Started 5 sec timeout

Jul 30 20:54:29.095: TPLUS(00000000)/0/NB_WAIT: socket event 2

Jul 30 20:54:29.095: TPLUS(00000000)/0/NB_WAIT: wrote entire 25 bytes request

Jul 30 20:54:29.095: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.095: TPLUS(00000000)/0/READ: Would block while reading

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: read entire 12 header bytes (expect 16 bytes data)

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.099: TPLUS(00000000)/0/READ: read entire 28 bytes response

Jul 30 20:54:29.099: TPLUS(00000000)/0/2B2DC1AC: Processing the reply packet

Jul 30 20:54:29.099: TPLUS: Received authen response status GET_PASSWORD (8)

Jul 30 20:54:29.099: TPLUS: Queuing AAA Authentication request 0 for processing

Jul 30 20:54:29.099: TPLUS: processing authentication continue request id 0

Jul 30 20:54:29.099: TPLUS: Authentication continue packet generated for 0

Jul 30 20:54:29.099: TPLUS(00000000)/0/WRITE/2B2DC1AC: Started 5 sec timeout

Jul 30 20:54:29.099: TPLUS(00000000)/0/WRITE: wrote entire 25 bytes request

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: read entire 12 header bytes (expect 6 bytes data)

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: socket event 1

Jul 30 20:54:29.103: TPLUS(00000000)/0/READ: read entire 18 bytes response

Jul 30 20:54:29.103: TPLUS(00000000)/0/2B2DC1AC: Processing the reply packet

Jul 30 20:54:29.103: TPLUS: Received authen response status PASS (2)

Problemas Comunes

El problema más común es la configuración. Muchas veces el administrador coloca el servidor de grupo aaa, pero no actualiza las líneas aaa para apuntar al grupo de servidores. En lugar de:

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

El administrador habrá introducido:

aaa authentication login default grout tacacs+ local

aaa authorization exec default group tacacs+ if-authenticated

aaa accounting exec default start-stop group tacacs+

Simplemente actualice la configuración con el grupo de servidores correcto.

Un segundo problema común es que un usuario recibe este error cuando intenta agregar el reenvío de vrf ip en el grupo de servidores:

% Unknown command or computer name, or unable to find computer address

Esto significa que no se encontró el comando. Si esto ocurre, asegúrese de que la versión del IOS soporte por VRF TACACS+. Estas son algunas de las versiones mínimas comunes:

- 12.3(7)T

- 12.2(33)SRA1

- 12.2(33)SXI

- 12.2(33)SXH4

- 12.2(54)SG

Información Relacionada

- Soporte Técnico y Documentación - Cisco Systems