Авторизация Radius на ESR

[Dezya]

Добрый день!

Не могу добиться от ESR1200 корректного уровня привилегий для пользователя, подключающегося через Radius.

Код: Выделить всё

aaa authentication login VTY radius local
aaa authentication enable VTY_ENABLE radius enable
aaa accounting login start-stop radius
aaa authentication attempts max-fail 3 60
radius-server host 10.0.0.2
  key ascii-text encrypted 88B11079B9014FAFF7B9
  source-address 10.0.0.1
exit
line ssh
  login authentication VTY
  enable authentication VTY_ENABLE
exit


Radius :

Код: Выделить всё

test     Cleartext-Password := "test"
        Service-Type = Administrative-User,
        Cisco-AVPair = "shell:priv-lvl=5",
        Reply-Message = "Hello!"

А получается в любом случае 1 уровень:

Код: Выделить всё

ESR1200> sh users
User name              Logged in at        Host                   Timers Login/Priv   level   
--------------------   -----------------   --------------------   -----------------   -----   
admin                  01/06/19 14:54:14   10.0.0.3           00:29:34/00:00:00   15     
test                    01/06/19 15:12:50   10.0.0.3           00:29:57/00:00:00   1   

Такая же конфигурация без нареканий используется для MES2324. Прошу совета.

[leonid_zarkov]

Просьба сообщить версию ПО маршрутизатора.

[Dezya]

ESR-1200
Boot version:
1.4.1.198 (date 19/11/2018 time 14:22:56)
SW version:
1.4.4 build 8[4bd3714d6f] (date 15/01/2019 time 20:18:53)
HW version:
1v3

Такая же ситуация на ESR-100
Boot version:
1.4.1.92 (date 19/11/2018 time 16:35:52)
SW version:
1.4.4 build 4[4bd3714d6f] (date 15/01/2019 time 17:25:16)
HW version:
1v7

[leonid_zarkov]

Вероятно, недоступен RADIUS сервер, т.к. с данной конфигурацией атрибут обрабатывается корректно.

В конфиграции у Вас два метода для аутентификации: RADIUS и Local:
aaa authentication login VTY radius local

Если недоступен RADIUS сервер, то будет использоваться следующий по списку метод аутентификации и вероятно username test у вас есть в local с уровнем привелегии 1 (значение по умолчанию).

Необходимо проверить доступность RADIUS сервера и корректность его конфигурации.

[Dezya]

Если недоступен RADIUS сервер, то будет использоваться следующий по списку метод аутентификации и вероятно username test у вас есть в local с уровнем привелегии 1 (значение по умолчанию).

Это было бы слишком просто. В конфигурации нет пользователей.

Дебаг Radius сервера показывает нормальную работу сервера:

Код: Выделить всё

(2) Received Access-Request Id 39 from 172.16.221.1:58723 to 10.221.0.224:1812 length 110
(2)   User-Name = "svp"
(2)   User-Password = "Ghbdtn"
(2)   NAS-Identifier = "ssh"
(2)   NAS-Port = 19060
(2)   NAS-Port-Type = Virtual
(2)   Service-Type = Administrative-User
(2)   Cisco-AVPair = "shell:priv-lvl=1"
(2)   Calling-Station-Id = "10.221.0.224"
(2)   NAS-IP-Address = 172.16.221.1
...
(2)   Auth-Type PAP {
(2) pap: Login attempt with password
(2) pap: Comparing with "known good" Cleartext-Password
(2) pap: User authenticated successfully
(2)     [pap] = ok
(2)   } # Auth-Type PAP = ok
...
(2) Sent Access-Accept Id 39 from 10.221.0.224:1812 to 172.16.221.1:58723 length 0
(2)   Service-Type = Administrative-User
(2)   Cisco-AVPair = "shell:priv-lvl=5"
(2)   Reply-Message = "?"
(2) Finished request

При этом те же запросы работают для пользователя $enab15$ при входе в enable. Такие же запросы работают в MES.

Можно ли выбирать протокол или поддерживается только PAP?

[SmalleR]

Можно посмотреть обмен пакетами между ESR и Radius сервером:
Из документации:

Есть ли функционал в маршрутизаторах серии ESR для анализа трафика?
В маршрутизаторах серии ESR реализована возможность анализировать трафик на
интерфейсах из CLI. Сниффер запускается командой monitor.

Можно выбрать протокол, порт и использовать прочие фильтры.

[drewbinsky]

вам следует отремонтировать или заменить пульт дистанционного управления или сам цифровой преобразователь eggy car

[timothyferriss]

попробуйте использовать другой сервер RADIUS или настройте ESR1200 для локальной аутентификации пользователей blossom word game

[Phantom32]

У меня так.(MES2324)
Имена оборудования вида ELT-EQ-SW-<num> или ELT-EQ-DISTR или ELT-EQ-CORE
Аутентификация доменная. Пользователи eng_one или eng_two.

Код: Выделить всё

/etc/raddb/sites-enabled/default (post-auth)
if (((&User-Name == "eng_one") || (&User-Name == "eng_two")) && ((&NAS-Identifier =~ /^ELT-EQ-[O,C,S,W,D,I,E,S,T,R]{2,5}-[0-9]{1,3}/) || (&NAS-Identifier =~ /^ELT-EQ-[O,C,S,D,I,E,S,T,R]{2,5}/))){
                        update reply {
                                Service-Type = NAS-Prompt-User
                                Cisco-AVPair = "shell:priv-lvl=15"
                        }
                }

15 уровень даёт нормальный enable. У меня всё работает тут.