Management AAA総合設定

このページで学ぶこと

• AAA Integrated Local Safety Account
• AAA Integrated Enablement Order
• AAA Integrated Protocol 選択
• AAA Integrated Server Definition
• AAA Integrated Default Method
• AAA Integrated Named Method Binding
• AAA Integrated Group Timeout
• AAA Integrated Reject Handling
• AAA Integrated Shared Secret Diagnosis
• AAA Integrated Port Diagnosis
• AAA Integrated Server Status
• AAA Integrated Test Authentication
• AAA Integrated Configuration Verification
• AAA Integrated Local Versus Remote Failure
• AAA Integrated Troubleshooting Flow
• AAA Integrated 要件 Validation

総合Configuration Flow

Management Authentication要件
↓
Local User準備
↓
aaa new-model
↓
TACACS+ / RADIUS Server定義
↓
必要ならServer Group
↓
Authentication Method List
↓
Default / Named判断
↓
NamedならVTYへ適用
↓
設定・Server状態・Authentication Test
↓
実Management Login

TACACS+例

username localadmin secret <local-secret>
aaa new-model
tacacs server TAC1
 address ipv4 192.0.2.10
 key <shared-secret>
aaa authentication login default group tacacs+ local

RADIUS例

username localadmin secret <local-secret>
aaa new-model
radius server RAD1
 address ipv4 192.0.2.20 auth-port 1812 acct-port 1813
 key <shared-secret>
aaa authentication login default group radius local

Verification Flow

show running-config
↓
show aaa servers
↓
test aaa group ...
↓
実Management Login

ServerがUPに見えることとUser Authentication成功は同義ではありません。

Troubleshooting Flow

Login失敗
↓
Local User / Method List / Line適用
↓
Server Address / Port / Shared Secret
↓
Server Groupで利用可能な応答あり?
├─ No  → ERROR → 次Method
└─ Yes
    ├─ PASS → 成功
    └─ FAIL → Login失敗、次Methodへ進まない

Protocol選択

TACACS+とRADIUSに絶対的な優劣を付けず、Device Managementで必要なAAA分離、Transport、Port、既存AAA基盤などの要件から選びます。

重要な注意点

• aaa new-model ≠ Remote AAA設定完了
• Named List作成 ≠ VTYへ自動適用
• 1台Server Timeout ≠ 即Local Fallback
• Server Reject → FAIL → 次Methodへ進まない
• Server Group ERROR → 次Methodへ進める
• show aaa serversでServer正常 ≠ User Authentication成功保証
• Shared Secret ≠ User Password

まとめ

Local UserとTACACS+ / RADIUS AAA Client設定を統合し、Default / Named Method、Server Group、Fallback、Verificationを順序立てて構成し、Management Login失敗をPASS・FAIL・ERRORに分けて切り分けられるようにする。