аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:12 GMT

Aref Alsouqi — Mon, 02 Mar 2026 12:22:12 GMT

Спасибо, что поделились этой информацией. У вас в сети несколько доменов или только один?

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:11 GMT

Aref Alsouqi — Mon, 02 Mar 2026 12:22:11 GMT

В отладочных данных, которые вы предоставили, показано несколько таймаутов сокета TACACS. Мне интересно, есть ли какие-либо проблемы с сетью/задержками между коммутатором и ISE. Вы настроили интерфейс источника TACACS на коммутаторах? Если нет, я бы попробовал это сделать. Команда будет выглядеть так: «ip tacacs source-interface ...».

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:10 GMT

Cristian Matei — Mon, 02 Mar 2026 12:22:10 GMT

Здравствуйте, Можете ли вы опубликовать результат выполнения следующей команды
«show running-config | section aaa|tacacs»
? Хотя односоединение TACACS, даже если оно не включено с обеих сторон, не должно приводить к таким результатам, иногда это может произойти. Можете ли вы подтвердить, что односоединение отключено или включено с обеих сторон? Особенно поскольку вы выполняете авторизацию команд и учет команд через TACACS, рекомендуется активировать одно соединение с обеих сторон, чтобы избежать необходимости иметь большое количество сеансов TCP TACACS между NAD и NAS, даже несмотря на то, что в этой области были некоторые ошибки. Спасибо, Кристиан.

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:09 GMT

merloxuanyuan23 — Mon, 02 Mar 2026 12:22:09 GMT

Спасибо, я приступлю к обновлению одного устройства в целях тестирования, благодарю за предложение.

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:08 GMT

PSM — Mon, 02 Mar 2026 12:22:08 GMT

@merloxuanyuan23
После проверки профилей авторизации, как предложил
@Dustin Anderson
, рекомендую обновить коммутатор 9200 до рекомендуемой версии 17.12.6, а затем провести тестирование. Журналы ISE показывают, что он отправляет профили авторизации. Отладка коммутатора показывает, что ISE сначала отвечает, а затем продолжает ждать последующего ответа. Это может быть ошибка, поэтому рекомендуется провести тестирование с другой рекомендуемой версией.

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:07 GMT

merloxuanyuan23 — Mon, 02 Mar 2026 12:22:07 GMT

Привет, Дастин, спасибо за помощь. Я убедился, что набор команд и профиль настроены правильно, но попробую две другие команды, чтобы посмотреть, поможет ли это.

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:06 GMT

Dustin Anderson — Mon, 02 Mar 2026 12:22:06 GMT

Итак, со стороны ISE мы видим, что он соответствует профилю. Две его части — это наборы команд и профили оболочки. Наборы команд — это то, что вы разрешаете использовать в зависимости от погоды или для всех. Профиль оболочки — это то, где вы можете установить уровень привилегий. Для простоты давайте предположим, что администратор входит в систему с полными привилегиями. Создайте набор команд, разрешающий все команды, кроме выбранных ниже. Это сделает его списком исключений. ![Permit.jpg] Затем создайте оболочку, разрешающую 15. ![Admin.jpg] Я не уверен, что это ваша проблема, но при прохождении аутентификации либо не отправляются права, либо коммутатор их не принимает. Две другие команды, которые у меня есть в нашей конфигурации по умолчанию: tacacs-server directed-request
tacacs-server administration

Reply to аутентификация TACACS+ проходит успешно на ISE, но не проходит на коммутаторе on Mon, 02 Mar 2026 12:22:05 GMT

merloxuanyuan23 — Mon, 02 Mar 2026 12:22:05 GMT

После дополнительного расследования я обнаружил, что проблема была связана с форматом имени пользователя... Аутентификация TACACS требует ввода имени пользователя в полном формате (например, имя_пользователя@домен). Когда был добавлен суффикс домена, аутентификация и авторизация команд работали как положено...