Contents

Problema

O acesso Secure Shell (SSH) ao software Adaptive Security Appliance (ASA) com Remote Authentication Dial-In User Service (RADIUS) usando One-Time Password (OTP) falha quando a Pilha CiscoSSH está habilitada.

Essas mensagens de syslog são geradas:

Nov 14 2025 16:28:35: %ASA-6-113010: AAA challenge received for user from server .

Nov 14 2025 16:28:35: %ASA-4-109033: Authentication failed for admin user from . Interactive challenge processing is not supported for SSH v1 connections

Ambiente

Os sintomas são observados quando todas as condições correspondem:

- Secure Firewall 1230 com ASA em modo de contexto único ou múltiplo. Outras plataformas de hardware também são afetadas.

- O servidor RADIUS é usado para autenticação SSH:

device# show run | i aaa

aaa-server RAD-OTP protocol radius

aaa-server RAD-OTP (management) host 192.0.2.1

aaa-server RAD-OTP (management) host 192.0.2.2

aaa authentication ssh console RAD-OTP

- O servidor RADIUS solicita e requer um código OTP válido ou desafio para a autenticação bem-sucedida.

- A pilha CiscoSSH está habilitada no ASA.

- Nas versões 9.19.1 e posteriores, a pilha CiscoSSH é habilitada por padrão e pode ser opcionalmente desabilitada usando o comando no ssh stack cisco. Use o comando show ssh para verificação:

device# show ssh

ssh secure copy : ENABLED

ciscoSSH stack : DISABLED

- Nas versões 9.23.1 e posteriores, essa pilha não pode ser desativada ou verificada.

Resolução

Os sintomas são reproduzidos com sucesso no laboratório interno e rastreados no bug da Cisco ID CSCwt5790.

Use uma destas opções de solução alternativa nas versões afetadas:

- Use a autenticação local para conexões SSH.

- No servidor RADIUS, desative o requisito OTP para o ASA.

- Em versões anteriores à 9.23, desative a pilha CiscoSSH usando o comando no ssh stack cisco. Certifique-se de revisar a referência de comandos do Cisco Secure Firewall ASA Series, os comandos S e avaliar o impacto potencial da desativação da pilha do CiscoSSH.

Causa

A causa da falha de autenticação é o bug da Cisco ID CSCwt5790.

Conteúdo relacionado

- ID de bug da Cisco CSCwi04513

- ID de bug da Cisco CSCwt57790

- Referência de comandos do Cisco Secure Firewall ASA Series, Comandos S