AAA: TACACS+ و RADIUS وتشخيص الدخول

aaa client 10.0.0.1 T@cKey tacacs
aaa user sara Sara@2026
service aaa on

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.0.1 255.255.255.0
no shutdown
username emergency privilege 15 secret Em3rg@ncy
aaa new-model
tacacs server ISE
address ipv4 10.0.0.60
key T@ckey
aaa authentication login VTY-AUTH group tacacs+
line vty 0 4
transport input telnet
login authentication VTY-AUTH
end

حيّاك الله، ومرحبا بك في محور Infrastructure Security، وهو عشرين بالمِيّة من الاختبار. نبدأ بالـ AAA: authentication، يعني مين أنت. و authorization، يعني وش مسموح لك. و accounting، يعني وش سويت. و م. فهد شرح الأساس في ENCOR. هنا نروح للفروق الدقيقة، وللتشخيص.

البروتوكولين: TACACS plus: من سيسكو، على TCP بورت forty nine، يشفّر الـ packet كلها، ويفصل الثلاث A عن بعض، فتقدر تتحكم في كل أمر يكتبه المهندس. ومكانه: إدارة الأجهزة. و RADIUS: معيار مفتوح، على UDP بورت eighteen twelve و eighteen thirteen، يشفّر كلمة السر بس، ويجمع الـ authentication والـ authorization في رد واحد. ومكانه: دخول المستخدمين للشبكة، زي 802.1X و VPN.

والـ method list: قائمة طرق بالترتيب، مثلاً group TACACS plus ثم local. والقاعدة اللي يطيح فيها الكثير: الراوتر ينتقل للطريقة اللي بعدها بس إذا الـ server ما رد أبداً، يعني error. أما إذا الـ server رد بـ reject، يعني كلمة سر غلط، فالدخول ينرفض فوراً، وما يجرّب local. وهذا مقصود: ما ينفع مستخدم ينرفض من الـ server، ويدخل بكلمة سر محلية قديمة. المعمل: R1، و server ISE يشتغل TACACS plus، و PC1 للمهندس. و AAA مضبوط على R1، والمستخدمة sara موجودة على الـ server. نجرّب الدخول بـ telnet من PC1.

telnet 10.0.0.1
sara
Sara@2026

الدخول فشل. والسؤال: الخطأ عند مين؟ المستخدم، أو الراوتر، أو الـ server؟ وأفضل دليل: الـ log حق الـ server نفسه.

aaa log

الـ server يقول إن الطلب من ten dot zero dot zero dot one وصل، لكن ما قدر يفك التشفير. يعني الـ key مختلف بين الراوتر والـ server. والـ key في TACACS plus يشفّر الـ packet كلها، فلو مختلف، الـ server ما يقدر حتى يقرا اسم المستخدم. نقارن: على الـ server الـ key فيه حرف K كبير، وعلى R1 نفس الكلمة بحرف k صغير. والـ key حساس للحروف الكبيرة والصغيرة. نصلّح على R1. والـ telnet للحين مفتوح، والراوتر يعطيك ثلاث محاولات، فنعيد كتابة المستخدم وكلمة السر.

configure terminal
tacacs server ISE
key T@cKey
end

sara
Sara@2026

الدخول نجح، والـ server سجّل Access-Accept. الحين دورك. الـ method list الحالية فيها group TACACS plus بس. يعني لو الـ server طاح، ما أحد يقدر يدخل أبداً. أضف local للقائمة، ووقّف خدمة الـ AAA على ISE، وجرّب الدخول بالمستخدم المحلي emergency. وقّف الفيديو، وجرّب.

تمرين: على R1: aaa authentication login VTY-AUTH group tacacs+ local. على ISE: service aaa off. بعدها من PC1: telnet 10.0.0.1 بالمستخدم emergency وكلمة السر Em3rg@ncy.

الحل.

exit
telnet 10.0.0.1
emergency
Em3rg@ncy

configure terminal
aaa authentication login VTY-AUTH group tacacs+ local
end

service aaa off

الدخول نجح، بعد تأخير شوي، لأن R1 انتظر رد الـ server لين خلص الـ timeout، وبعدها انتقل لـ local. ولو كان الـ server شغّال، والمستخدم emergency مو موجود عليه، كان الـ server بيرد reject، والدخول بيفشل، مع إن emergency موجود محلياً. الخلاصة: TACACS plus للإدارة و RADIUS للمستخدمين، والـ method list تنتقل بس عند error، والـ key لازم يتطابق، والـ log حق الـ server أقوى دليل. والدرس الجاي: الـ ACLs المتقدمة.