Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Hoe werkt TACACS

Problemen met TACACS oplossen

Gerelateerde informatie

Inleiding

Dit document beschrijft de stappen voor het oplossen van problemen met Terminal Access Controller Access Control System Verification (TACACS) op Cisco IOS®/Cisco IOS-XE-routers en switches.

Voorwaarden

Vereisten

Cisco raadt u aan een basiskennis te hebben van deze onderwerpen:

- Configuratie van verificatie, autorisatie en accounting (AAA) op Cisco-apparaten

- TACACS-configuratie

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Hoe werkt TACACS

Het protocol van TACACS+ gebruikt het Protocol van de Controle van de Transmissie (TCP) als vervoerprotocol met bestemmingshaven nummer 49. Wanneer de router een login verzoek ontvangt, vestigt het een verbinding van TCP met de server TACACS, post die een gebruikersbenamingsherinnering aan de gebruiker wordt getoond. Wanneer de gebruiker de gebruikersnaam ingaat, communiceert de router opnieuw met de server TACACS voor de wachtwoordherinnering. Zodra de gebruiker het wachtwoord invoert, stuurt de router deze informatie opnieuw naar de TACACS-server. De TACACS-server verifieert de gebruikersreferenties en stuurt een antwoord terug naar de router. Het resultaat van een AAA-sessie kan één van de volgende zijn:

PASPOORT: Wanneer u wordt geverifieerd, begint de service alleen als de AAA-autorisatie op de router is geconfigureerd. De vergunningsfase begint op dit moment.

MISLUKKEN: Wanneer u de verificatie niet hebt uitgevoerd, kunt u verdere toegang worden geweigerd of worden gevraagd de loginvolgorde opnieuw te proberen. Het hangt af van de TACACS+ daemon. In dit geval kunt u het beleid controleren dat voor de gebruiker is ingesteld in de TACACS-server, als u een FAIL ontvangt van de server

FOUT: Het geeft aan dat er een fout is opgetreden tijdens de verificatie. Dit kan bij daemon of in de netwerkverbinding tussen daemon en router zijn. Als een ERROR-reactie wordt ontvangen, probeert de router doorgaans een andere methode te gebruiken om de gebruiker te verifiëren.

Dit zijn de basisconfiguratie van AAA en TACACS op een Cisco-router

aaa new-model

aaa authentication login default group tacacs+ local

aaa authorization exec default group tacacs+ local

!

tacacs server prod

address ipv4 10.106.60.182

key cisco123

!

ip tacacs source-interface Gig 0/0

Problemen met TACACS oplossen

Stap 1. Controleer de verbinding met de TACACS-server met een telnet op poort 49 vanaf de router met de juiste broninterface. Als de router geen verbinding kan maken met de TACACS-server op poort 49, kan er een firewall of toegangslijst zijn die het verkeer blokkeert.

Router#telnet 10.106.60.182 49

Trying 10.106.60.182, 49 ... Open

Stap 2. Controleer dat de AAA-client correct is geconfigureerd op de TACACS-server met het juiste IP-adres en de gedeelde geheime sleutel. Als de router meerdere uitgaande interfaces heeft, wordt voorgesteld om de TACACS-broninterface te configureren met gebruik van deze opdracht. U kunt de interface, waarvan het IP-adres als client-IP-adres op een TACACS-server is geconfigureerd, als de TACACS-broninterface op router configureren

Router(config)#ip tacacs source-interface Gig 0/0

Stap 3. Controleer of de TACACS-broninterface op een Virtual Routing and Forwarding (VRF) staat. Als de interface zich op een VRF bevindt, kunt u de VRF-informatie configureren onder de AAA-servergroep. Raadpleeg de TACACS-configuratiegids voor de configuratie van VRF-bewuste TACACS.

Stap 4. Voer test aaa uit en controleer of we de juiste respons van de server ontvangen

Router#test aaa  group tacacs+ cisco cisco legacy

Sending password

User successfully authenticated

Stap 5. Als test aaa faalt, laat deze debugs toe om de transacties tussen de router en de server TACACS samen te analyseren om de worteloorzaak te identificeren.

debug aaa authentication

debug aaa authorization

debug tacacs

debug ip tcp transaction

Dit is een voorbeeld van debug-uitvoer in een werkscenario:

*Apr  6 13:32:50.462: AAA/BIND(00000054): Bind i/f

*Apr  6 13:32:50.462: AAA/AUTHEN/LOGIN (00000054): Pick method list 'default'

*Apr  6 13:32:50.462: TPLUS: Queuing AAA Authentication request 84 for processing

*Apr  6 13:32:50.462: TPLUS(00000054) login timer started 1020 sec timeout

*Apr  6 13:32:50.462: TPLUS: processing authentication start request id 84

*Apr  6 13:32:50.462: TPLUS: Authentication start packet created for 84()

*Apr  6 13:32:50.462: TPLUS: Using server 10.106.60.182

*Apr  6 13:32:50.462: TPLUS(00000054)/0/NB_WAIT/2432818: Started 5 sec timeout

*Apr  6 13:32:50.466: TPLUS(00000054)/0/NB_WAIT: socket event 2

*Apr  6 13:32:50.466: TPLUS(00000054)/0/NB_WAIT: wrote entire 38 bytes request

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: Would block while reading

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: read entire 12 header bytes (expect 43 bytes data)

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:50.466: TPLUS(00000054)/0/READ: read entire 55 bytes response

*Apr  6 13:32:50.466: TPLUS(00000054)/0/2432818: Processing the reply packet

*Apr  6 13:32:50.466: TPLUS: Received authen response status GET_USER (7)

*Apr  6 13:32:53.242: TPLUS: Queuing AAA Authentication request 84 for processing

*Apr  6 13:32:53.242: TPLUS(00000054) login timer started 1020 sec timeout

*Apr  6 13:32:53.242: TPLUS: processing authentication continue request id 84

*Apr  6 13:32:53.242: TPLUS: Authentication continue packet generated for 84

*Apr  6 13:32:53.242: TPLUS(00000054)/0/WRITE/10882BBC: Started 5 sec timeout

*Apr  6 13:32:53.242: TPLUS(00000054)/0/WRITE: wrote entire 22 bytes request

*Apr  6 13:32:53.246: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:53.246: TPLUS(00000054)/0/READ: read entire 12 header bytes (expect 16 bytes data)

*Apr  6 13:32:53.246: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:53.246: TPLUS(00000054)/0/READ: read entire 28 bytes response

*Apr  6 13:32:53.246: TPLUS(00000054)/0/10882BBC: Processing the reply packet

*Apr  6 13:32:53.246: TPLUS: Received authen response status GET_PASSWORD (8)

*Apr  6 13:32:54.454: TPLUS: Queuing AAA Authentication request 84 for processing

*Apr  6 13:32:54.454: TPLUS(00000054) login timer started 1020 sec timeout

*Apr  6 13:32:54.454: TPLUS: processing authentication continue request id 84

*Apr  6 13:32:54.454: TPLUS: Authentication continue packet generated for 84

*Apr  6 13:32:54.454: TPLUS(00000054)/0/WRITE/2432818: Started 5 sec timeout

*Apr  6 13:32:54.454: TPLUS(00000054)/0/WRITE: wrote entire 22 bytes request

*Apr  6 13:32:54.458: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:54.458: TPLUS(00000054)/0/READ: read entire 12 header bytes (expect 6 bytes data)

*Apr  6 13:32:54.458: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:54.458: TPLUS(00000054)/0/READ: read entire 18 bytes response

*Apr  6 13:32:54.458: TPLUS(00000054)/0/2432818: Processing the reply packet

*Apr  6 13:32:54.458: TPLUS: Received authen response status PASS (2)

*Apr  6 13:32:54.462: AAA/AUTHOR (0x54): Pick method list 'default'

*Apr  6 13:32:54.462: TPLUS: Queuing AAA Authorization request 84 for processing

*Apr  6 13:32:54.462: TPLUS(00000054) login timer started 1020 sec timeout

*Apr  6 13:32:54.462: TPLUS: processing authorization request id 84

*Apr  6 13:32:54.462: TPLUS: Protocol set to None .....Skipping

*Apr  6 13:32:54.462: TPLUS: Sending AV service=shell

*Apr  6 13:32:54.462: TPLUS: Sending AV cmd*

*Apr  6 13:32:54.462: TPLUS: Authorization request created for 84(cisco)

*Apr  6 13:32:54.462: TPLUS: using previously set server 10.106.60.182 from group tacacs+

*Apr  6 13:32:54.462: TPLUS(00000054)/0/NB_WAIT/2432818: Started 5 sec timeout

*Apr  6 13:32:54.462: TPLUS(00000054)/0/NB_WAIT: socket event 2

*Apr  6 13:32:54.462: TPLUS(00000054)/0/NB_WAIT: wrote entire 62 bytes request

*Apr  6 13:32:54.462: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:54.462: TPLUS(00000054)/0/READ: Would block while reading

*Apr  6 13:32:54.470: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:54.470: TPLUS(00000054)/0/READ: read entire 12 header bytes (expect 18 bytes data)

*Apr  6 13:32:54.470: TPLUS(00000054)/0/READ: socket event 1

*Apr  6 13:32:54.470: TPLUS(00000054)/0/READ: read entire 30 bytes response

*Apr  6 13:32:54.470: TPLUS(00000054)/0/2432818: Processing the reply packet

*Apr  6 13:32:54.470: TPLUS: Processed AV priv-lvl=15

*Apr  6 13:32:54.470: TPLUS: received authorization response for 84: PASS

*Apr  6 13:32:54.470: AAA/AUTHOR/EXEC(00000054): processing AV cmd=

*Apr  6 13:32:54.470: AAA/AUTHOR/EXEC(00000054): processing AV priv-lvl=15

*Apr  6 13:32:54.470: AAA/AUTHOR/EXEC(00000054): Authorization successful

Dit is een voorbeeld van debug-uitvoer van de router, wanneer de TACACS-server is geconfigureerd met een verkeerde vooraf gedeelde sleutel.

*Apr  6 13:35:07.826: AAA/BIND(00000055): Bind i/f

*Apr  6 13:35:07.826: AAA/AUTHEN/LOGIN (00000055): Pick method list 'default'

*Apr  6 13:35:07.826: TPLUS: Queuing AAA Authentication request 85 for processing

*Apr  6 13:35:07.826: TPLUS(00000055) login timer started 1020 sec timeout

*Apr  6 13:35:07.826: TPLUS: processing authentication start request id 85

*Apr  6 13:35:07.826: TPLUS: Authentication start packet created for 85()

*Apr  6 13:35:07.826: TPLUS: Using server 10.106.60.182

*Apr  6 13:35:07.826: TPLUS(00000055)/0/NB_WAIT/225FE2DC: Started 5 sec timeout

*Apr  6 13:35:07.830: TPLUS(00000055)/0/NB_WAIT: socket event 2

*Apr  6 13:35:07.830: TPLUS(00000055)/0/NB_WAIT: wrote entire 38 bytes request

*Apr  6 13:35:07.830: TPLUS(00000055)/0/READ: socket event 1

*Apr  6 13:35:07.830: TPLUS(00000055)/0/READ: Would block while reading

*Apr  6 13:35:07.886: TPLUS(00000055)/0/READ: socket event 1

*Apr  6 13:35:07.886: TPLUS(00000055)/0/READ: read entire 12 header bytes (expect 6 bytes data)

*Apr  6 13:35:07.886: TPLUS(00000055)/0/READ: socket event 1

*Apr  6 13:35:07.886: TPLUS(00000055)/0/READ: read entire 18 bytes response

*Apr  6 13:35:07.886: TPLUS(00000055)/0/225FE2DC: Processing the reply packet

*Apr  6 13:35:07.886: TPLUS: received bad AUTHEN packet: length = 6, expected 43974

*Apr  6 13:35:07.886: TPLUS: Invalid AUTHEN packet (check keys).

Gerelateerde informatie

- TACACS-configuratie op Cisco IOS-software

- Technische ondersteuning en documentatie – Cisco Systems