![TACACS+ - 思科路由器 - 故障转移到本地数据库无法正常运行](https://linux22.com/image/802021/TACACS%2B%20-%20%E6%80%9D%E7%A7%91%E8%B7%AF%E7%94%B1%E5%99%A8%20-%20%E6%95%85%E9%9A%9C%E8%BD%AC%E7%A7%BB%E5%88%B0%E6%9C%AC%E5%9C%B0%E6%95%B0%E6%8D%AE%E5%BA%93%E6%97%A0%E6%B3%95%E6%AD%A3%E5%B8%B8%E8%BF%90%E8%A1%8C.png)
我已使 TACACS+ 正常运行,现在我正尝试进行设置,以便当 TACACS+ 服务器不可用时,它可以在本地进行故障转移。
我的目标是让它首先检查 TACACS 服务器,如果无法联系则进行故障转移。
据我了解,下面的配置行可以实现这一点,在“group tacacs+”命令之后加上“local”一词来实现这一点:
aaa 身份验证登录 vtymethod 组 tacacs+ 本地
测试:我禁用服务器上的 TACACS 服务并尝试与本地用户进行身份验证,并被告知该用户不在组中(就像被 TACACS 拒绝一样)。
我可以使用以下命令行来实现如上所述的最终目标:
aaa 身份验证登录 vtymethod 本地组 tacacs+
这样它会首先检查用户是否在本地可用...我的理解一直是将它放在最后会允许它进行故障转移,并且希望首先检查 TACACS...
关于我哪里做错了,有什么提示吗?
答案1
实际上,我已经对各种 Cisco 交换机和路由器进行了此操作。以下是 IOS 配置中的相关代码行。
aaa new-model
aaa authentication login default group tacacs+ local
tacacs-server host **redacted**
tacacs-server directed-request
tacacs-server **redacted**
正如您所见,是的,您在“tacacs+”后面跟着“local”。
至于故障转移需要多长时间,当您尝试进行身份验证时,路由器必须至少 15 秒内无法访问 TACACS 源(超时 5 秒并尝试联系服务器 3 次),然后身份验证源才会更改为本地。https://supportforums.cisco.com/discussion/11350726/two-acs-server-failover
答案2
末尾的本地关键字对于故障转移来说是正确的。
问题是,故障转移不是立即发生的,需要长达 30 秒的时间才能完成。
显然,在测试时,我没有等待足够长的时间让它意识到 TACACS 服务器不可用(尽管我本以为该机制更多的是检查 tacacs,它失败了,它就进行故障转移)
答案3
aaa 新款
aaa 身份验证登录 {方法} 组 {服务器} {回退}
是的,回退应该是“本地”以使用本地数据库。tac plus 开发指南可能可以回答您的问题。
配置用户和组 TACACS+
每个用户可以属于一个组(但只能属于一个组)。每个组又可以属于另一个组,依此类推,以此类推。用户和组的声明如下。这里我们声明了两个用户“fred”和“lily”,以及两个组“admin”和“staff”。
Fred 是“admin”组的成员,而“admin”组又是“staff”组的成员。Lily 不属于任何组。
用户 = lily { # 用户 lily 不是任何组的成员 # 并且尚未进行任何其他配置 }
user = fred { # fred 是 admin 组的成员 member = admin }
group = admin { # 群组 admin 是群组 staff 的成员 member = staff }
group = staff { # group staff 不是任何组的成员 } 递归和组 通常,当守护进程查找值(例如密码)时,它会首先查看用户是否有自己的密码。如果没有,它会查看用户是否属于某个组,如果是,则查看该组是否定义了密码。如果没有,则此过程将继续遍历组的层次结构(一个组可以是另一个组的成员),直到找到值或没有其他组。此递归过程用于查找到期日期、pap、arap 和 chap“机密”,以及授权参数(请参阅下文)。
因此,典型的配置技术是将用户放入组中,并在组声明中指定尽可能多的组范围特征。然后,可以根据需要使用单个用户声明覆盖选定用户的组设置。
答案4
据我记得,对于思科来说,本地和本地是两码事。
local 将引用这样调用的对象组。
LOCAL 指的是 Cisco 设备本地存储的实际用户数据库。
因此,您的命令应如下所示;
aaa authentication login vtymethod group tacacs+ LOCAL
抱歉,这似乎仅适用于 ASA 设备......