Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Verifica

Conclusioni

Introduzione

In questo documento viene illustrato il comportamento del comando "login local" quando l'autenticazione, l'accounting di autorizzazione (AAA) è abilitato o disabilitato su un router.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di base dei seguenti argomenti:

- Configurazione AAA su router Cisco

- Radius/TACACS

Componenti usati

Le informazioni di questo documento si basano sui test eseguiti in diverse versioni di Cisco IOS: 12.2(22), 12.4T, 15.1M, 15.3M ecc. Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Di seguito è riportata la configurazione minima necessaria per verificare questo comportamento:

- Almeno un server RADIUS (Remote Authentication Dial-In User Service) o TACACS+ (Terminal Access Controller Access Control System) è raggiungibile dal router sottoposto a test.

- Il router sottoposto a test viene riconosciuto come client del server AAA.

- La stessa chiave segreta precondivisa è configurata sul router/switch Cisco e sui server AAA remoti.

- Pool globale di server RADIUS o sottoinsieme denominato di server RADIUS o TACACS+ configurati sul router sottoposto a test.

- Database utente locale configurato sul router sottoposto a test.

Verifica

quando si configura 'login local' in 'line vty x', gli utenti saranno in grado di accedere usando il nome utente e la password locali configurati sul router. Tuttavia, quando si configura 'aaa new-model', non vi è alcuna configurazione nella 'line vty x' perché il metodo di accesso predefinito è ora AAA.

Dopo aver salvato la configurazione e aver rimosso il server AAA con il comando "no aaa-new model", il metodo di accesso tornerà all'autenticazione di linea. L'autenticazione di linea si ha quando il router cerca solo la password della linea e non la password del nome utente globale configurato. Ora non sarà possibile visualizzare 'login local' in 'line vty x' che era stato configurato prima di abilitare AAA, ma si vedrà 'login'.

Nota: si sconsiglia di disabilitare l'autenticazione AAA con "no aaa new-model".

Nei passaggi seguenti verrà illustrato in dettaglio questo comportamento:

Login local configured on router:

Router#show run | begin line vty

line vty 0 4

login local

Enable AAA on router:

Router(config)#aaa new-model

Router#show run | begin line vty

line vty 0 4

Save the configuration

Router#wr

Building configuration...

[OK]

Disable AAA

Router#conf t

Router(config)#no aaa new-model

Changing configuration back to no aaa new-model is not supported.

Continue?[confirm]

Check login method

Router#show run | begin line vty

line vty 0 4

login

Conclusioni

Quando si rimuove "AAA new-model", il metodo predefinito sarà "login" in linea e non "login local". Questo comportamento viene visualizzato su tutte le versioni di Cisco IOS.