内容

概要

前提条件

要件

使用するコンポーネント

表記法

機能情報

トラブルシューティング手法

データ分析

一般的な問題

関連情報

概要

RADIUS は、ネットワークにアクセスするユーザを認証する、認証プロトコルとして多用されています。多くの管理者が、VPN ルーティングおよび転送（VRF）を使用して管理トラフィックを分離しています。 IOS® の認証、認可、アカウンティング（AAA）はパケットを送信するためにデフォルトのルーティング テーブルを使用します。このガイドでは、RADIUS サーバが VRF にある場合の RADIUS の設定およびトラブルシューティング方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- RADIUS

- VRF

- [AAA]

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

機能情報

基本的に、VRF はデバイス上の仮想ルーティング テーブルです。IOS がルーティングを決定する際に、機能またはインターフェイスが VRF を使用している場合、ルーティングの決定はその VRF ルーティング テーブルに対して行われます。これ以外の場合、機能はグローバル ルーティング テーブルを使用します。このことを念頭において、次に、VRF を使用するように RADIUS を設定する方法を示します。

version 15.2

service config

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname vrfAAA

!

boot-start-marker

boot-end-marker

!

aaa new-model

!

aaa group server radius management

server-private 192.0.2.4 key cisco

server-private 192.0.2.5 key cisco

ip vrf forwarding blue

ip radius source-interface GigabitEthernet0/0

!

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

!

aaa session-id common

!

no ipv6 cef

!

ip vrf blue

!

no ip domain lookup

ip cef

!

interface GigabitEthernet0/0

ip vrf forwarding blue

ip address 203.0.113.2 255.255.255.0

duplex auto

speed auto

!

interface GigabitEthernet0/1

no ip address

shutdown

duplex auto

speed auto

!

ip forward-protocol nd

!

no ip http server

no ip http secure-server

!

ip route vrf blue 0.0.0.0 0.0.0.0 203.0.113.1

!

line con 0

line aux 0

line vty 0 4

transport input all

出力結果からわかるように、グローバルに定義された RADIUS サーバはありません。サーバを VRF に移行する場合、グローバルに設定された RADIUS サーバを安全に削除することができます。

トラブルシューティング手法

次のステップを実行します。

1. AAA グループ サーバに、RADIUS トラフィックの送信元インターフェイスと適切な IPVRF 転送定義があることを確認します。

2. VRF ルーティング テーブルをチェックし、RADIUS サーバへのルートがあることを確認します。VRF ルーティング テーブルの表示に上記の例を使用します。

vrfAAA#show ip route vrf blue

Routing Table: blue

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

I - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

+ - replicated route, % - next hop override

Gateway of last resort is 203.0.113.1 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 203.0.113.1

203.0.113.0/8 is variably subnetted, 2 subnets, 2 masks

C        203.0.113.0/24 is directly connected, GigabitEthernet0/0

L        203.0.113.2/32 is directly connected, GigabitEthernet0/0

3. RADIUS サーバに ping できますか。また VRF 専用でなければなりません。

vrfAAA#ping vrf blue 192.0.2.4

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.0.2.4, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms

4. test aaa コマンドを使用して接続をテストできます（最後に [new-code] オプションをつける必要があります。レガシーは機能しません）。

vrfAAA#test aaa group management cisco Cisco123 new-code

User successfully authenticated

USER ATTRIBUTES

username             "cisco"

ルートが設定されているにもかかわらず RADIUS サーバにヒットしない場合、ルータまたはスイッチからサーバに到達できるように ACL で UDP ポート 1645/1646、または UDP ポート 1812/1813 が許可されていることを確認してください。認証エラーが発生した場合、通常通り RADIUS のトラブルシューティングを実施します。VRF の機能は、パケットをルーティングするだけのものです。

データ分析

すべてが正常に機能しているように見えるのであれば、問題のトラブルシューティングのために aaa および radius debug コマンドを有効にします。次の debug コマンドを使用して開始します。

- debug radius

- aaa 認証のデバッグ

次の例のように何かが正しく設定されていない場合のデバッグの例を示します。

- RADIUS の送信元インターフェイスがない

- 送信元インターフェイスまたは AAA グループ サーバに IP VRF 転送コマンドがない

- VRF ルーティング テーブルに RADIUS サーバへのルートがない

Aug  1 13:39:28.571: AAA/AUTHEN/LOGIN (00000000): Pick method list 'default'

Aug  1 13:39:28.571: RADIUS/ENCODE(00000000):Orig. component type = Invalid

Aug  1 13:39:28.571: RADIUS/ENCODE(00000000): dropping service type,

"radius-server attribute 6 on-for-login-auth" is off

Aug  1 13:39:28.571: RADIUS(00000000): Config NAS IP: 203.0.113.2

Aug  1 13:39:28.571: RADIUS(00000000): Config NAS IPv6: ::

Aug  1 13:39:28.571: RADIUS(00000000): sending

Aug  1 13:39:28.575: RADIUS(00000000): Send Access-Request to 192.0.2.4:1645

id 1645/2, len 51

Aug  1 13:39:28.575: RADIUS:  authenticator 12 C8 65 2A C5 48 B8 1F -

33 FA 38 59 9C 5F D3 3A

Aug  1 13:39:28.575: RADIUS:  User-Password       [2]   18  *

Aug  1 13:39:28.575: RADIUS:  User-Name           [1]   7   "cisco"

Aug  1 13:39:28.575: RADIUS:  NAS-IP-Address      [4]   6   203.0.113.2

Aug  1 13:39:28.575: RADIUS(00000000): Sending a IPv4 Radius Packet

Aug  1 13:39:28.575: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:32.959: RADIUS(00000000): Request timed out

Aug  1 13:39:32.959: RADIUS: Retransmit to (192.0.2.4:1645,1646) for id 1645/2

Aug  1 13:39:32.959: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:37.823: RADIUS(00000000): Request timed out

Aug  1 13:39:37.823: RADIUS: Retransmit to (192.0.2.4:1645,1646) for id 1645/2

Aug  1 13:39:37.823: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:42.199: RADIUS(00000000): Request timed out

Aug  1 13:39:42.199: RADIUS: Retransmit to (192.0.2.4:1645,1646) for id 1645/2

Aug  1 13:39:42.199: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:47.127: RADIUS(00000000): Request timed out

Aug  1 13:39:47.127: RADIUS: Fail-over to (192.0.2.5:1645,1646) for id 1645/2

Aug  1 13:39:47.127: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:51.927: RADIUS(00000000): Request timed out

Aug  1 13:39:51.927: RADIUS: Retransmit to (192.0.2.5:1645,1646) for id 1645/2

Aug  1 13:39:51.927: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:39:56.663: RADIUS(00000000): Request timed out

Aug  1 13:39:56.663: RADIUS: Retransmit to (192.0.2.5:1645,1646) for id 1645/2

Aug  1 13:39:56.663: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:40:01.527: RADIUS(00000000): Request timed out

Aug  1 13:40:01.527: RADIUS: Retransmit to (192.0.2.5:1645,1646) for id 1645/2

Aug  1 13:40:01.527: RADIUS(00000000): Started 5 sec timeoutUser rejected

残念ながら、RADIUS ではタイムアウトとルートがない場合の区別ができません。

次に正常な認証の例を示します。

Aug  1 13:35:51.791: AAA/AUTHEN/LOGIN (00000000): Pick method list 'default'

Aug  1 13:35:51.791: RADIUS/ENCODE(00000000):Orig. component type = Invalid

Aug  1 13:35:51.791: RADIUS/ENCODE(00000000): dropping service type,

"radius-server attribute 6 on-for-login-auth" is off

Aug  1 13:35:51.791: RADIUS(00000000): Config NAS IP: 203.0.113.2

Aug  1 13:35:51.791: RADIUS(00000000): Config NAS IPv6: ::

Aug  1 13:35:51.791: RADIUS(00000000): sending

Aug  1 13:35:51.791: RADIUS(00000000): Send Access-Request to 192.0.2.4:1645 id

1645/1, len 51

Aug  1 13:35:51.791: RADIUS:  authenticator F4 E3 00 93 3F B7 79 A9 -

2B DC 89 18 8D B9 FF 16

Aug  1 13:35:51.791: RADIUS:  User-Password       [2]   18  *

Aug  1 13:35:51.791: RADIUS:  User-Name           [1]   7   "cisco"

Aug  1 13:35:51.791: RADIUS:  NAS-IP-Address      [4]   6   203.0.113.2

Aug  1 13:35:51.791: RADIUS(00000000): Sending a IPv4 Radius Packet

Aug  1 13:35:51.791: RADIUS(00000000): Started 5 sec timeout

Aug  1 13:35:51.799: RADIUS: Received from id 1645/1 14.36.142.31:1645,

Access-Accept, len 62

Aug  1 13:35:51.799: RADIUS:  authenticator B0 0B AA FF B1 27 17 BD -

3F AD 22 30 C6 03 5C 2D

Aug  1 13:35:51.799: RADIUS:  User-Name           [1]   7   "cisco"

Aug  1 13:35:51.799: RADIUS:  Class               [25]  35

Aug  1 13:35:51.799: RADIUS:   43 41 43 53 3A 6A 65 64 75 62 6F 69 73 2D 61 63

[CACS:ACS1]

Aug  1 13:35:51.799: RADIUS:   73 2D 35 33 2F 31 33 32 34 35 33 37 33 35 2F 33

[s-53/132453735/3]

Aug  1 13:35:51.799: RADIUS:   38                 [ 8]

Aug  1 13:35:51.799: RADIUS(00000000): Received from id 1645/1.

一般的な問題

- 最も一般的な問題は、設定に関するものです。管理者は AAA グループ サーバを何度も設定しますが、AAA 行をサーバ グループをポイントするように更新しません。次の代わりに、

aaa authentication login default group management local

aaa authorization exec default group management if-authenticated

aaa accounting exec default start-stop group management

管理者は次を設定します。

aaa authentication login default grout radius local

aaa authorization exec default group radius if-authenticated

aaa accounting exec default start-stop group radius

正しいサーバ グループで設定を更新するだけです。

- 2 つめの一般的な問題は、ユーザがサーバ グループに IP VRF 転送を追加しようとした場合に、次のエラーが表示されることです。

% Unknown command or computer name, or unable to find computer address

これはコマンドが見つからなかったことを意味します。このエラーが発生した場合、IOS のバージョンが VRF RADIUS をサポートしていることを確認してください。

関連情報

- テクニカル サポートとドキュメント – Cisco Systems