In questo documento viene descritta la configurazione e il funzionamento della funzione di rilevamento dei dati inattivi RADIUS e il relativo deadtime sugli switch Cisco.
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
La funzione di rilevamento server inattivo AAA consente di definire i criteri utilizzati per determinare quando un server RADIUS viene considerato non disponibile. È possibile configurare l'intervallo di tempo minimo, in secondi, che deve trascorrere dall'ultima volta in cui il dispositivo ha ricevuto un pacchetto valido dal server RADIUS prima che venga contrassegnato come inattivo. Se non sono stati ricevuti pacchetti validi dall'ultimo avvio del dispositivo e si verifica un timeout, la condizione basata sul tempo viene considerata soddisfatta.
È inoltre possibile configurare il numero di timeout consecutivi che devono verificarsi prima che il server RADIUS venga dichiarato inattivo. Se il server gestisce sia l'autenticazione che l'accounting, nel conteggio verranno inclusi i timeout per entrambi i tipi di traffico. I pacchetti in formato non corretto o costruiti in modo errato vengono considerati come timeout. Solo le ritrasmissioni vengono conteggiate per il raggiungimento della soglia di timeout.
Se un server RADIUS è contrassegnato come inattivo, il valore di deadtime configurato garantisce che il server rimanga nello stato inattivo per la durata specificata (in minuti) prima di essere contrassegnato come attivo. Durante questo periodo, lo switch non invia ulteriori richieste RADIUS al server inattivo.
Se sia l'ora che i tentativi sono configurati in criteri inattivi, è necessario soddisfare entrambe le condizioni prima che il server venga contrassegnato come inattivo.
Per configurare i criteri di deadtime e deadtime nello switch Cisco Cat 9K.
Switch#config terminal
Switch(config)#radius-server deadtime 2
Switch(config)#radius-server dead-criteria time 3 tries 3
Con la configurazione deadtime definita nei passaggi precedenti, lo switch contrassegna il server come inattivo per il periodo di tempo specificato, ovvero 2 minuti nell'esempio precedente. Alla scadenza del deadtime, lo switch contrassegna il server come nuovamente attivo e inizia a inviare il traffico RADIUS al server.
Se il valore di deadtime RADIUS non è specificato, per impostazione predefinita viene impostato su 0, in modo da riportare immediatamente il server allo stato ATTIVO. A causa di questo comportamento, lo stato del server RADIUS potrebbe subire un flap, causando ulteriori problemi di autenticazione. Per ripristinare lo stato attivo del server prima della scadenza del tempo di inattività specificato, configurare una sonda RADIUS. In questo modo il server RADIUS viene sottoposto periodicamente a test per verificare se risponde alle richieste RADIUS. Dopo aver ricevuto una risposta a una sonda, lo switch contrassegna il server RADIUS come attivo.
Switch(config)#radius server RAD1
Switch(config-radius-server)#address ipv4 10.127.197.164 auth-port 1812 acct-port 1813
Switch(config-radius-server)#automate-tester username test-user ignore-acct-port probe-on
Switch(config-radius-server)#key Iselab@123
Switch(config)#radius server RAD2
Switch(config-radius-server)#address ipv4 10.127.197.165 auth-port 1812 acct-port 1813
Switch(config-radius-server)#automate-tester username test-user ignore-acct-port probe-on
Switch(config-radius-server)#key Iselab@123
Come accennato in precedenza, test-user è un ID utente di test Nome utente. La parola chiave ignore-acct-port indica che lo switch non deve convalidare il numero della porta di accounting usata dal server. La parola chiave probe-on indica che lo switch deve inviare le richieste di prova solo quando il server è contrassegnato come inattivo.
Nel caso di un account utente non autorizzato sul database interno o esterno dell'ISE, è richiesta una password. Nell'esempio seguente, test-user è il nome utente e test-password è la password archiviata nell'archivio identità a cui il server RADIUS fa riferimento per l'autenticazione. Inoltre, un messaggio "Utente rifiutato" indica che il server RADIUS è attivo (a meno che non si verifichi un timeout).
Nel gruppo RADGRP sono configurati due server RADIUS RAD1 e RAD2. Il servizio RADIUS non è in esecuzione su RAD1 ma su RAD2.
radius server RAD1
address ipv4 10.127.197.164 auth-port 1812 acct-port 1813
key Iselab@123
radius server RAD2
address ipv4 10.127.197.165 auth-port 1812 acct-port 1813
key Iselab@123
aaa group server radius RADGRP
server name RAD1
server name RAD2
Per visualizzare i log dettagliati, sono stati abilitati i debug radius e aaa-trans sullo switch.
Switch#set platform software trace smd switch active R0 radius debug
Switch#set platform software trace smd switch active R0 aaa-trans debug
Una volta avviata la sessione MAB, lo switch invia la prima richiesta di accesso RADIUS al server primario al numero 10.127.197.164. Poiché questo server non dispone di un servizio RADIUS attivo, non risponde.
2026/04/06 18:19:17.503353862 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Send Access-Request to 10.127.197.164:1812 id 1812/49, len 3132026/04/06 18:19:17.503363389 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: authenticator c0 1f c0 30 8d 3d bc f9 - d2 67 e5 fe 09 3f 74 af
2026/04/06 18:19:17.503370267 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Name [1] 14 "b496912267d1"
2026/04/06 18:19:17.503374078 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Password [2] 18 *
2026/04/06 18:19:17.503383207 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Service-Type [6] 6 Call Check [10]
2026/04/06 18:19:17.503386667 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:17.503391259 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "service-type=Call Check"
2026/04/06 18:19:17.503396265 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Framed-MTU [12] 6 1464
2026/04/06 18:19:17.503399148 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Message-Authenticator[80] 18 ...
2026/04/06 18:19:17.503425477 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: EAP-Key-Name [102] 2 *
2026/04/06 18:19:17.503431520 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 49
2026/04/06 18:19:17.503435444 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 43 "audit-session-id=C4436B0A0000003B62BAA3AE"
2026/04/06 18:19:17.503438273 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:17.503442022 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "method=mab"
2026/04/06 18:19:17.503444833 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:17.503448442 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "client-iif-id=506217142"
2026/04/06 18:19:17.503451224 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:17.503454678 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "vlan-id=97"
2026/04/06 18:19:17.503466727 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-IP-Address [4] 6 10.107.67.196
2026/04/06 18:19:17.503470183 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Id [87] 26 "TenGigabitEthernet1/0/46"
2026/04/06 18:19:17.503475118 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
2026/04/06 18:19:17.503479167 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port [5] 6 50146
2026/04/06 18:19:17.503482732 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Calling-Station-Id [31] 19 "B4-96-91-22-67-D1"
2026/04/06 18:19:17.503486454 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Called-Station-Id [30] 19 "90-77-EE-EC-78-AE"
2026/04/06 18:19:17.503543835 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Started 5 sec timeout
Dopo aver atteso il timer di ritrasmissione predefinito di 5 secondi, lo switch invia una richiesta di accesso alle 18:19:22 ma non riceve alcuna risposta, aumentando il contatore tentativi a 2.
2026/04/06 18:19:22.503540209 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Retransmit to (10.127.197.164:1812,1813) for id 1812/49
2026/04/06 18:19:22.503550512 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS(00000000): Route radius Pkt on vrf:1 for:Access-Request to 10.127.197.164:1812
2026/04/06 18:19:22.503586730 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: authenticator c0 1f c0 30 8d 3d bc f9 - d2 67 e5 fe 09 3f 74 af
2026/04/06 18:19:22.503593713 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Name [1] 14 "b496912267d1"
2026/04/06 18:19:22.503597724 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Password [2] 18 *
2026/04/06 18:19:22.503606908 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Service-Type [6] 6 Call Check [10]
2026/04/06 18:19:22.503610291 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:22.503614797 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "service-type=Call Check"
2026/04/06 18:19:22.503620000 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Framed-MTU [12] 6 1464
2026/04/06 18:19:22.503636893 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Message-Authenticator[80] 18 ...
2026/04/06 18:19:22.503663803 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: EAP-Key-Name [102] 2 *
2026/04/06 18:19:22.503669779 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 49
2026/04/06 18:19:22.503673708 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 43 "audit-session-id=C4436B0A0000003B62BAA3AE"
2026/04/06 18:19:22.503676661 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:22.503680361 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "method=mab"
2026/04/06 18:19:22.503683177 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:22.503686781 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "client-iif-id=506217142"
2026/04/06 18:19:22.503689608 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:22.503693037 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "vlan-id=97"
2026/04/06 18:19:22.503698541 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-IP-Address [4] 6 10.107.67.196
2026/04/06 18:19:22.503701959 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Id [87] 26 "TenGigabitEthernet1/0/46"
2026/04/06 18:19:22.503706717 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
2026/04/06 18:19:22.503710913 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port [5] 6 50146
2026/04/06 18:19:22.503714471 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Calling-Station-Id [31] 19 "B4-96-91-22-67-D1"
2026/04/06 18:19:22.503718191 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Called-Station-Id [30] 19 "90-77-EE-EC-78-AE"
2026/04/06 18:19:22.503791197 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Started 5 sec timeout
Dopo altri 5 secondi, lo switch invia una terza richiesta di accesso alle 18:19:27, senza risposta, aumentando il contatore dei tentativi a 3.
2026/04/06 18:19:27.504409044 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Retransmit to (10.127.197.164:1812,1813) for id 1812/49
2026/04/06 18:19:27.504419704 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS(00000000): Route radius Pkt on vrf:1 for:Access-Request to 10.127.197.164:1812
2026/04/06 18:19:27.504458569 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: authenticator c0 1f c0 30 8d 3d bc f9 - d2 67 e5 fe 09 3f 74 af
2026/04/06 18:19:27.504465641 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Name [1] 14 "b496912267d1"
2026/04/06 18:19:27.504469296 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Password [2] 18 *
2026/04/06 18:19:27.504478672 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Service-Type [6] 6 Call Check [10]
2026/04/06 18:19:27.504482096 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:27.504486708 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "service-type=Call Check"
2026/04/06 18:19:27.504491837 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Framed-MTU [12] 6 1464
2026/04/06 18:19:27.504494772 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Message-Authenticator[80] 18 ...
2026/04/06 18:19:27.504521457 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: EAP-Key-Name [102] 2 *
2026/04/06 18:19:27.504527464 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 49
2026/04/06 18:19:27.504531333 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 43 "audit-session-id=C4436B0A0000003B62BAA3AE"
2026/04/06 18:19:27.504534211 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:27.504538053 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "method=mab"
2026/04/06 18:19:27.504540913 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:27.504544569 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "client-iif-id=506217142"
2026/04/06 18:19:27.504547453 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:27.504556776 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "vlan-id=97"
2026/04/06 18:19:27.504562674 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-IP-Address [4] 6 10.107.67.196
2026/04/06 18:19:27.504566176 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Id [87] 26 "TenGigabitEthernet1/0/46"
2026/04/06 18:19:27.504571069 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
2026/04/06 18:19:27.504575163 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port [5] 6 50146
2026/04/06 18:19:27.504578703 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Calling-Station-Id [31] 19 "B4-96-91-22-67-D1"
2026/04/06 18:19:27.504582370 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Called-Station-Id [30] 19 "90-77-EE-EC-78-AE"
2026/04/06 18:19:27.504650322 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Started 5 sec timeout
A questo punto, i criteri di tempo e tentativi sono stati soddisfatti, quindi lo switch contrassegna il primo server come inattivo per 120 secondi configurati ed esegue il failover al server successivo.
2026/04/06 18:19:32.503887087 {smd_R0-0}{1}: [aaa-trans] [27946]: (info): AAA/SG/TRANSAC: Server (10.127.197.164:1812,1813) marked dead - Initializing deadtime timer for 120 secs.
2026/04/06 18:19:32.504202918 {smd_R0-0}{1}: [errmsg] [27946]: (info): %RADIUS_AUDIT_MESSAGE-6-RADIUS_DEAD: R0/0: sessmgrd: RADIUS server 10.127.197.164:1812,1813 is not responding.
2026/04/06 18:19:32.504301242 {smd_R0-0}{1}: [errmsg] [27946]: (info): %AAA_AUDIT_MESSAGE-6-METHOD_LIST_STATE: R0/0: sessmgrd: mlist default of 8021X service is marked for notifying state and its current state is : ALIVE
2026/04/06 18:19:32.504323189 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Fail-over to (10.127.197.165:1812,1813) for id 1812/49
2026/04/06 18:19:32.504378935 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS(00000000): Route radius Pkt on vrf:1 for:Access-Request to 10.127.197.165:1812
2026/04/06 18:19:32.504403273 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: authenticator c0 1f c0 30 8d 3d bc f9 - d2 67 e5 fe 09 3f 74 af
2026/04/06 18:19:32.504410062 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Name [1] 14 "b496912267d1"
2026/04/06 18:19:32.504413896 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: User-Password [2] 18 *
2026/04/06 18:19:32.504422951 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Service-Type [6] 6 Call Check [10]
2026/04/06 18:19:32.504426323 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:32.504430907 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "service-type=Call Check"
2026/04/06 18:19:32.504435998 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Framed-MTU [12] 6 1464
2026/04/06 18:19:32.504438858 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Message-Authenticator[80] 18 ...
2026/04/06 18:19:32.504465819 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: EAP-Key-Name [102] 2 *
2026/04/06 18:19:32.504471839 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 49
2026/04/06 18:19:32.504475779 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 43 "audit-session-id=C4436B0A0000003B62BAA3AE"
2026/04/06 18:19:32.504478746 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:32.504482466 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "method=mab"
2026/04/06 18:19:32.504485282 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 31
2026/04/06 18:19:32.504489653 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 25 "client-iif-id=506217142"
2026/04/06 18:19:32.504493997 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Vendor, Cisco [26] 18
2026/04/06 18:19:32.504499349 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Cisco AVpair [1] 12 "vlan-id=97"
2026/04/06 18:19:32.504509376 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-IP-Address [4] 6 10.107.67.196
2026/04/06 18:19:32.504522118 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Id [87] 26 "TenGigabitEthernet1/0/46"
2026/04/06 18:19:32.504527127 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
2026/04/06 18:19:32.504531412 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: NAS-Port [5] 6 50146
2026/04/06 18:19:32.504534916 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Calling-Station-Id [31] 19 "B4-96-91-22-67-D1"
2026/04/06 18:19:32.504538572 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Called-Station-Id [30] 19 "90-77-EE-EC-78-AE"
2026/04/06 18:19:32.504597929 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Started 5 sec timeout
2026/04/06 18:19:32.803141632 {smd_R0-0}{1}: [radius] [27946]: (info): RADIUS: Received from id 1812/49 10.127.197.165:0, Access-Accept, len 142
Suggerimento: Il timer di ritrasmissione predefinito di 5 secondi può essere riconfigurato utilizzando la ritrasmissione radius-server per un failover più rapido.
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
11-May-2026
|
Versione iniziale |