مشكلة كبيرة فىAAA server

[the small]

مساء الخير

اقرأوا معى هذة السطور

Cisco IOS software attempts authentication with the next listed authentication method only when there is no response or an error from the previous method occurs. If the authentication method denies the user access, the authentication process stops and no other authentication methods are allowed.

R1 e0/0 ==> R2 e0/0

R1 configuration

 
R1#sh run
Building configuration...
Current configuration : 1209 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R1
!
boot-start-marker
boot-end-marker
!
enable password cisco1
!
aaa new-model
!
!
aaa authentication login default local enable
!
aaa session-id common
!
resource policy
!
memory-size iomem 5
!
!
ip cef
!
!
username tito password 0 cisco
!
interface Ethernet0/0
 ip address 1.1.1.1 255.255.255.0
 half-duplex
!
interface Ethernet0/1
 no ip address
 shutdown
 half-duplex
!
interface Ethernet0/2
 no ip address
 shutdown
 half-duplex
!
interface Ethernet0/3
 no ip address
 shutdown
 half-duplex
!
interface Serial1/0
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/1
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/2
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/3
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
ip http server
no ip http secure-server
!
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
!
!
end 

R2 configuration

 
R2#sh run
Building configuration...
Current configuration : 1084 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R2
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
!
resource policy
!
memory-size iomem 5
!
!
ip cef
!
!
interface Ethernet0/0
 ip address 1.1.1.2 255.255.255.0
 half-duplex
!
interface Ethernet0/1
 no ip address
 shutdown
 half-duplex
!
interface Ethernet0/2
 no ip address
 shutdown
 half-duplex
!
interface Ethernet0/3
 no ip address
 shutdown
 half-duplex
!
interface Serial1/0
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/1
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/2
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
interface Serial1/3
 no ip address
 shutdown
 serial restart-delay 0
 no dce-terminal-timing-enable
!
ip http server
no ip http secure-server
!
!
control-plane
!!
line con 0
line aux 0
line vty 0 4
!
!
end 

المفترض الان لو عملت telnet على هذا الرواتر يبص الاول على local database ثم اذا كانت لا توجد داتا بيز استطيع الدخول عن طريق cisco1 اللى هى enable
password
المشكلة لما بحاول ادخل فعلا على هذا الرواتر
بيطلب منى ادخال اليوزر والباسور اللى هما المفروض tito + cisco

لكن لو حاولت اكتب فى اليوزر cisco1 وفى الباسورد cisco1 ايضا
يستجيب ويدخل
كيف يتعدى خطوة الداتا بيز الى الخطوة الثانية بدون ما يكون هناك اى مشكلة فى الداتا بيز!!!!!!

ياريت الافادة

[أيمن النعيمي]

قمت بنفس العملية على الباكيت ترايسير ودخل معي عن طريق اليوزر نايم وكلمة السر التى قمت انا بتحديدهم
ولم يدخل معي من خلال enable password
طيب هل أستطعت الدخول على الروتر من خلال الاسم وكلمة السر التى قمت بوضعهم يعني tito + cisco ؟؟؟

[hisooka_dos]

أنت عملت الأمر ده ؟؟

Router(config)# line vty 0 4
Router(config-line)#no password
Router(config)#login local

[the small]

لم افعل اى شئ سوى هذة الاوامر فقط

وجربت الدخول عن طريق tito+cisco نفع وايضا اذا كتبت فى اليوزر cisco1 والباسورد cisco1 بيدخل عادى

[hisooka_dos]

ما هو المشكل إذن ؟؟
أنت قلت عندما تدخل ب username =tito و password = cisco لا يستجيب
صح ؟؟
جرب الأمر ده أ شوف :

Router(config)# line vty 0 4
Router(config-line)#no password
Router(config)#login local

[StrangerInMoscow]

ياشباب بمجرد تفعيل ال AAA الخيار الخاص بال login local بيلغى ويحل مكانة
login authentication

ياريت تحط لنا ال running-config بالكامل

[attyah]

يا شباب الإعدادات هنا بتعمل التالي:
أولاً: أن يتم الدخول عن طريق الـ local user الموجودين في الراوتر.
ثانياً: إذا فشل الدخول عن طريق الـ local بأن يدخل عن طريق الـ enable.

طيب: نريد عمل إعدادات الـ AAA الصحيحة لكي يشتغل معنا الـ Telnet عن طريق الـ AAA ؟

أولاً: اعمل الـ ِAuthentication بأن تتم local فقط، مالم فيخرج، بالأمر التالي:
aaa authentication login default local none
ثانياً: اعمل اسم للـ Authentication حق الـ AAA لكي نعملها ربط مع التلنت: كالتالي:
aaa authentication login Attyah local
طبعا Attyah هو اسمي :D

ثالثاً: ندخل على التلنت ونحط الأمر التالي:
login authentication Attyah

بكذا مش حيدخل أي يوزر مش local على الراوتر.

[BGP]

أهلا

شوف اخوي انت سؤالك مش واضح كثير بس على افتراض انك تريد ال best practices

اولا المفروض ال authentication يكون عن طريق ال AAA اذا الراوتر او السوتش مش قادر يشوف ال AAA

ينتقل بعد كذا الى ال Local database أذا الconfiguration راح تكون بالطريقه التاليه:

اولا تعرف ال AAAserver على الراوتر
يعني تروح الراوتر وتعمل

tacacs-server host SERVER IP key the small


انتبه ان ال Key لازم يكون متشابه مع الي موجود في ال AAA


بعد كذا تعرف الAAA configuration

aaa new-model
aaa group server tacacs+ my AAA
aaa authentication login VTY group my AAA local
aaa authentication enable default group my AAA enable
aaa authorization exec default group my AAA local
aaa accounting exec default start-stop group my AAA
aaa accounting commands 1 default start-stop my AAA
aaa accounting commands 15 default start-stop group my AAA
aaa session-id common

طبعآ لاحظ انه في ثاني امر لازم تعرف server-group سميها مثلا أنا سميتها لك my AAA

للعلم مجرد ما اعطيت الامر aaa-new-model

التغى اليوزر نيم الاول وكل شي يعني لزم تسوي لك username &password

username tito privilege 15 password 0 cisco

بعد كذا

line vty 0 4
exec-timeout 30 0
privilege level 15
password TITO123
login authentication VTY

الان مجرد ما تضيف اي Username على ال AAA راح تقدر تدخل على الراوتر من خلااله لو ال AAA مش شغال راح تروح على ال Local


أتمنى اني وفقت في الاجابه لو عندك ملاحظه او عند الاخوان ملاحظه على الconfiguration راح اكون سعيد بالاجابه عليها ولو ما زالت المشكله قائمه ارجو انك تعطينا ال Running -config مع رسم للشبكة الي عندك


وشكرآ

[SyrianCyclone]

أهلا

شوف اخوي انت سؤالك مش واضح كثير بس على افتراض انك تريد ال best practices

اولا المفروض ال authentication يكون عن طريق ال AAA اذا الراوتر او السوتش مش قادر يشوف ال AAA

ينتقل بعد كذا الى ال Local database أذا الconfiguration راح تكون بالطريقه التاليه:

اولا تعرف ال AAAserver على الراوتر
يعني تروح الراوتر وتعمل

tacacs-server host SERVER IP key the small


انتبه ان ال Key لازم يكون متشابه مع الي موجود في ال AAA


بعد كذا تعرف الAAA configuration

طبعآ لاحظ انه في ثاني امر لازم تعرف server-group سميها مثلا أنا سميتها لك my AAA

للعلم مجرد ما اعطيت الامر aaa-new-model

التغى اليوزر نيم الاول وكل شي يعني لزم تسوي لك username &password

بعد كذا

الان مجرد ما تضيف اي Username على ال AAA راح تقدر تدخل على الراوتر من خلااله لو ال AAA مش شغال راح تروح على ال Local


أتمنى اني وفقت في الاجابه لو عندك ملاحظه او عند الاخوان ملاحظه على الconfiguration راح اكون سعيد بالاجابه عليها ولو ما زالت المشكله قائمه ارجو انك تعطينا ال Running -config مع رسم للشبكة الي عندك


وشكرآ

إجابة ممتازة اخي , مشكور جدا على المعلومات

[attyah]

بس الراجل كان يسأل عن الـ local configuration on local router مش على سيرفر .

[hisooka_dos]

ماذا حصل معك يا صاحب الموضوع !:D

[the small]

تم تعديل الموضوع وللاسف جميع المساعدات لم تفيدنى لانسؤالى ببساطة شديدة

ان aaa لن يدخل على الطريقة الثانية اللى هى enable password الا بعد فشل عمل الطريقة الاولى اللى هى local database الذى يحدث انى بامكانى الدخول على التيلنت ب
username:tito
password:cisco
وهذا هو الصح

لكن اللى مش مظبوط انى اقدر ادخل ايضا بال enable password
username:cisco1
password:cisco1

وطبعا المفترض انة بيشوف الداتا بيز local المفروض انة ما يدخلش لان مفيش عندة
username cisco1 password cisco1

اتمنى ان يكون سؤالى واضح واى ايضاح انا هنا

[أيمن النعيمي]

أخي هل قمت بالتجربة على أجهزة حقيقية ام باكيت ترايسير
اذا كان باكيت ترايسير ياريت ترفق الملف
وشكرا

[hisooka_dos]

يا شباب الإعدادات هنا بتعمل التالي:
أولاً: أن يتم الدخول عن طريق الـ local user الموجودين في الراوتر.
ثانياً: إذا فشل الدخول عن طريق الـ local بأن يدخل عن طريق الـ enable.

طيب: نريد عمل إعدادات الـ AAA الصحيحة لكي يشتغل معنا الـ Telnet عن طريق الـ AAA ؟

أولاً: اعمل الـ ِAuthentication بأن تتم local فقط، مالم فيخرج، بالأمر التالي:
aaa authentication login default local
ثانياً: اعمل اسم للـ Authentication حق الـ AAA لكي نعملها ربط مع التلنت: كالتالي:
aaa authentication login Attyah local
طبعا Attyah هو اسمي :D

ثالثاً: ندخل على التلنت ونحط الأمر التالي:
login authentication Attyah

بكذا مش حيدخل أي يوزر مش local على الراوتر.

أنت عملت إلي قال لك عليه الأخ atyah ؟؟

[the small]

أنت عملت إلي قال لك عليه الأخ atyah ؟؟

شكرا للاخ عطية على مساعدتة ولكنة لم يستخدم فى الاساس الenable كطريقة ثانية فى حالة الفشل

وايضا ال default تطبق على جميع اللlines ولست بحاجة لعمل واحدة اخرى اسمها عطية

انا عامل الكونفيجراشن بتاعتى على dynamips بنسخة IOS حقيقية طبعا

شكرا لكم جميعا ومنتظر الحل