AAA Fundamentals

このページで学ぶこと

• AAA Authentication Role
• AAA Authorization Role
• AAA Accounting Role
• AAA New Model Enablement
• AAA Default Login Method
• AAA Named Login Method
• AAA Method Order
• AAA Fail Stops Chain
• AAA Error Allows Next Method
• AAA Server Group Error Semantics
• AAA Default Versus Named Scope
• AAA Authentication Primary Scope

AAAの3要素

Login Authentication Method List

aaa new-model
aaa authentication login default group tacacs+ local

Method Listは左から順に評価します。ただしRejectされたら次へ進むという意味ではありません。

PASS / FAIL / ERROR

Remote AAA Method
├─ PASS  → Authentication成功
├─ FAIL  → 認証終了。localへ進まない
└─ ERROR → 次Methodのlocalへ進める

Server Groupを使う場合、1台TimeoutしただけでGroup Method全体がERRORとは限りません。

Server GroupとFallback

TAC1 timeout
↓
同GroupのTAC2へ試行
↓
TAC2 Reject
↓
FAIL
↓
localへ進まない

DefaultとNamed Method List

defaultはDefault Method Listです。Named Listは作成しただけでは対象Lineへ適用されず、たとえばVTYでlogin authentication ADMINのように関連付けます。

重要な注意点

• Authentication ≠ Authorization ≠ Accounting
• Server Reject ≠ Server No Response
• FAIL ≠ ERROR
• 1台Timeout ≠ 即Local Fallback
• Named Method List作成 ≠ Lineへ自動適用

まとめ

AAAのAuthentication / Authorization / Accountingを区別し、Login Authentication Method ListのDefault / Named適用と、PASS・FAIL・ERRORによるFallback動作を正しく判断できるようにする。