Solucione problemas de falha de autenticação de SSH em ASA com RADIUS usando senha de uso único

Problema

O acesso Secure Shell (SSH) ao software Adaptive Security Appliance (ASA) com Remote Authentication Dial-In User Service (RADIUS) usando One-Time Password (OTP) falha quando a Pilha CiscoSSH está habilitada.

Essas mensagens de syslog são geradas:

Nov 14 2025 16:28:35: %ASA-6-113010: AAA challenge received for user from server .
Nov 14 2025 16:28:35: %ASA-4-109033: Authentication failed for admin user from . Interactive challenge processing is not supported for SSH v1 connections

Ambiente

Os sintomas são observados quando todas as condições correspondem:

• Secure Firewall 1230 com ASA em modo de contexto único ou múltiplo. Outras plataformas de hardware também são afetadas.

• O servidor RADIUS é usado para autenticação SSH:

device# show run | i aaa
aaa-server RAD-OTP protocol radius
aaa-server RAD-OTP (management) host 192.0.2.1
aaa-server RAD-OTP (management) host 192.0.2.2
aaa authentication ssh console RAD-OTP

• O servidor RADIUS solicita e requer um código OTP válido ou desafio para a autenticação bem-sucedida.

• A pilha CiscoSSH está habilitada no ASA.

• Nas versões 9.19.1 e posteriores, a pilha CiscoSSH é habilitada por padrão e pode ser opcionalmente desabilitada usando o comando no ssh stack cisco. Use o comando show ssh para verificação:

device# show ssh
ssh secure copy : ENABLED
ciscoSSH stack : DISABLED

• Nas versões 9.23.1 e posteriores, essa pilha não pode ser desativada ou verificada.

Resolução

Os sintomas são reproduzidos com sucesso no laboratório interno e rastreados no bug da Cisco ID CSCwt5790.

Use uma destas opções de solução alternativa nas versões afetadas:

• Use a autenticação local para conexões SSH.

• No servidor RADIUS, desative o requisito OTP para o ASA.

• Em versões anteriores à 9.23, desative a pilha CiscoSSH usando o comando no ssh stack cisco. Certifique-se de revisar a referência de comandos do Cisco Secure Firewall ASA Series, os comandos S e avaliar o impacto potencial da desativação da pilha do CiscoSSH.

Causa

A causa da falha de autenticação é o bug da Cisco ID CSCwt5790.

Conteúdo relacionado

• ID de bug da Cisco CSCwi04513

• ID de bug da Cisco CSCwt57790

• Referência de comandos do Cisco Secure Firewall ASA Series, Comandos S