Local User Authentication

このページで学ぶこと

• Local Username Secret
• Local Privilege Separation
• Login Local Line Binding
• AAA Local Login Method
• AAA New Model 要件
• Local User Does Not Imply VTY Use
• Authentication Versus Privilege
• Local Secret Versus AAA Shared Secret
• Local Authentication Verification
• Local Authentication Path 選択

Local User Database

IOS XEではLocal Userをusername <username> secret <password>で作成できます。Local Userを作成しただけでは、VTYなどの管理Loginが自動的にそのDatabaseを使うわけではありません。

username netadmin secret <password>

PrivilegeはAuthenticationとは別

privilege 15は高い権限を付与する例であり、Local Authenticationを成立させる必須条件ではありません。

username netadmin privilege 15 secret <password>

Authentication成功とPrivilege Levelは分けて判断します。

Non-AAA Local Authentication

username netadmin secret <password>
line vty 0 4
 login local

login localは対象LineでLocal User Databaseを使って認証する指定です。

AAAでLocalを使う

aaa new-model
aaa authentication login default local

AAAを有効化したうえで、Login Authentication MethodとしてLocal Databaseを指定できます。Non-AAAのlogin localとは設定経路を区別します。

確認の考え方

Local User存在
↓
対象Line / Method ListがLocalを参照
↓
Management Login
↓
認証成功後のPrivilegeを確認

重要な注意点

• Local Userを作成した ≠ VTYが自動的にLocal認証を使う
• Local User ≠ 必ずPrivilege 15
• Authentication成功 ≠ 必ずPrivilege 15取得
• Shared Secret ≠ Local User Password

まとめ

IOS XEのLocal User Databaseを作成し、username / secret / privilegeの役割を分離して、login localまたはAAA Local MethodをManagement Loginへ正しく関連付けられるようにする。