تنظیمات روتر و nttac plus

[leila-m]

یک روتر 2610 دارم که تنظیمات لازم اکانتینگ رویش انجام شده بود و کاربران به صورت dialup اتصال برقرار میکردند و از طریق nttac plus سرویس کار خودش رو انجام میداد . یکی از همکارام یه تغییرات جزیی روی روتر انجام داد (تغییرات ip ) حالا دیگه یوزرها نمیتونند متصل بشوند . کانفیگ روتر رو اینجا میذارم . دوستان هرکی میدونه راهنمایی کنه ممنون میشم

version 12.2
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Router
!
aaa new-model
!
!
aaa authentication login default local
aaa authentication ppp default local group radius
aaa accounting nested
aaa accounting update newinfo
aaa accounting network default start-stop group radius
aaa session-id common
!
username admin password 7 05068796796976966072345678907771F175B4A50471F0408
ip subnet-zero
!
!
ip name-server 192.9.9.3
ip name-server 4.2.2.6
ip name-server 217.218.127.104
!
!
!
!
interface FastEthernet0/0
 ip address x.x.x.x x.x.x.x secondary
 ip address 192.168.1.10 255.255.255.0
 duplex auto
 speed auto
!
interface Serial0/0
 ip unnumbered FastEthernet0/0
 ip access-group 115 in
 ip access-group 115 out
 ip nat outside
 encapsulation ppp
!
interface Group-Async1
 ip unnumbered FastEthernet0/0
 ip nat inside
 encapsulation ppp
 no ip mroute-cache
 async mode interactive
 peer default ip address pool pool1
 ppp authentication pap chap 
 group-range 33 48
!
ip local pool pool2 x.x.x.x x.x.x.x
ip local pool pool1 192.168.1.110 192.168.1.160
ip nat pool newpool x.x.x.x x.x.x.x netmask x.x.x.x
ip nat inside source list 103 pool newpool overload
ip nat outside source list 103 pool newpool
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0/0
no ip http server
ip pim bidir-enable
!
!
access-list 103 permit ip 192.168.1.0 0.0.0.255 any
access-list 115 deny   tcp any any eq 135
access-list 115 deny   udp any any eq 135
access-list 115 deny   udp any any eq netbios-ns
access-list 115 deny   udp any any eq netbios-dgm
access-list 115 deny   tcp any any eq 139
access-list 115 deny   udp any any eq netbios-ss
access-list 115 deny   tcp any any eq 445
access-list 115 deny   tcp any any eq 593
access-list 115 deny   tcp any any eq 4444
access-list 115 permit ip any any
radius-server host 192.168.1.20 auth-port 1645 acct-port 1646
radius-server retransmit 3
radius-server key 7 11584B56685675641475F
!
line con 0
line 33 48
 modem Dialin
 modem autoconfigure discovery
 autocommand  ppp
 transport input all
 autoselect during-login
 autoselect ppp
 stopbits 1
 flowcontrol hardware
line aux 0
line vty 0 4
 !
!
end

و log که روی سرور میگیره به این شکله ، در حالتیکه یوزر بدون پسورد باشه و با پسورد :

DEBUG# RAD_AUTHEN 192.168.1.10:1645[C]:Authentication request for 'zara' on (null)
DEBUG# RAD_AUTHEN 192.168.1.10:1645[C]:Account 'zara' has not expired (exp.date = never)
DEBUG# RAD_AUTHEN 192.168.1.10:1645[C]:## password verify: configured='123' entered='à­½ùِ*?eRBâ؟£à'
RAD_AUTHEN 192.168.1.10:1645[C]:Account 'zara', password is INCORRECT
RAD_AUTHEN 192.168.1.10:1645[C]:pap-authentication query for 'zara' rejected
DEBUG# RAD_AUTHEN 192.168.1.10:1645[D]:Authentication request for 'test1' on (null)
DEBUG# RAD_AUTHEN 192.168.1.10:1645[D]:Account 'test1' has not expired (exp.date = never)
DEBUG# RAD_AUTHEN 192.168.1.10:1645[D]:## password verify: configured='' entered=''
DEBUG# RAD_AUTHEN 192.168.1.10:1645[D]:Account 'test1', password is OK
DEBUG# RAD_AUTHEN 192.168.1.10:1645[D]:No attributes in auth-response for 'test1' on Async41
RAD_AUTHEN 192.168.1.10:1645[D]:pap-authentication query for 'test1' accepted

---

موضوعات مشابه:

• تفاوت روتر 2811-sec/k9 با روتر c2911-waas-sec/k9
• خرید روتر سیسکو برای اتصال به nttac
• نحوه کانفیگ ospf در روترهای cisco وقتی در شبکه های متصل به روترها vlan داریم

---

[webgard3]

این مثل اینه که پسوردتون رو فارسی میزنید.

[hosam]

فک کنم مربوط به encription key باشه یکبار ورش دار و دوباره کانکت شو
ببین درست میشه؟

[aryagohar]

مشکل Radius Secret Key هست.

در روی access server رو Radius server یکبار دیگه چک کن

[leila-m]

key ها را برداشتم . از روی روتر خط :
radius-server key xxxxx
و از روی سرور secret key رو برداشتم .
ولی دقیقا لاگی که در nttac گرفته میشه ، همون لاگ قبلی هست

[Abulhallaj]

بااستفاده از این دستور در مود privialge روتر می تونی مشکل رو پیدا کنی:

test aaa group radius xxxxx yyyyy legacy

به جای x ها username و
به جای y ها password کاربری رو که توی nttac داری بنویس و خروجی دستور چک کن یا اینجا بزار تا کمکت کنیم.

[leila-m]

نگفتید کی این دستور رو بزنم روی روتر . وقتی دارم دیال میشم یا همینطوری ؟
همینطوری که دستور رو زدم ، با username , password یکی از یوزرهام در nttac
این پیغام اومد :

Router#test aaa group radius xxx yyy legacy
Attempting authentication test to server-group radius using radius
No authoritative response from any server.

درحالیکه سرور اکانتینگ از روی روتر ping میشه

[leila-m]

access list ها و nat pool ها درسته ؟ access group درست apply شده روی interface ها ؟

[nikaien]

همه چيز درست به نظر مياد. فقط يه موردي هست كه كمي شك دارم.
خود ويندوزت رو عوض كن. اكانتينگ رو رو يه كامپيوتر ديگه بريز ببين درست ميشه يا نه؟
اگر هم بعداً مشكلت حل شد اينجا بگو تا ما هم ياد بگيريم. ممنون

[webgard3]

nttac رو اول تست کن ببین با خود ویندوز کار میکنه یا نه.
معمولا این مشکلات با پروتکل authentication بوجود میاد.
اگر درست بود بعدش بیا secret برای nttac نذار. روی سیسکو هم بردار.
اگر نشد بیا توی اینترفیس group async خط ppp authentication pap chap رو بردار.
با یوزر وصل شو ببین چه لاگی میزاره توی nttac.
یه بار هم با PAP تنها تست کن ضرر نداره.
اگر باز هم نشد بجای radius از tacacs استفاده کن.

[leila-m]

سرور رو عوض کردم . حتی ویندوز رو عوض کردم . هم با xp و هم winserver تست کردم . کارهایی که آقای webgard هم گفتن رو انجام دادم البته با radius ولی نتیجه نگرفتم . nttac روی خود سرور کار میکنه .
ظاهرا ایراد از روتر هست ، لاگ nttac تا مرحله authentication میره ولی سراغ accounting نمیره . در هر حال که تست کردم آخرین خط لاگ این بود :

RAD_AUTHEN 192.168.1.10:1645[D]:pap-authentication query for 'username' accepted

فکر میکنم خط به خط روتر باید trace بشه

[aryagohar]

ار tacacs استفاده کردی؟

مشکل تو از عدم همخونی radius key بین AS و RADIUS هست.

2 تا باید مثل هم باشن. به نظر می رسه تو NTTAC هنوز SECRET رو با IP اکسس سرور وارد نکردی.

[leila-m]

خوب key رو از روی هر دو برداشتم ولی نتیجه نداد .
با tacacs تنظیمات روتر و سرور چطوریه ؟

[aryagohar]

RADIUS بدون KEY جواب نمی ده.

حتما باید SECRET KEY تنظیم کنی

[leila-m]

مشکل موردی بود که آقای aryagohar گفتند : radius key

secret key رو روی سرور درست تعریف نکرده بودم ، با تعریف درست مشکل حل شد .

از همه دوستان مخصوصا آقای آریاگوهر ممنون