Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de Rede

Verificar

Router

Troubleshoot

Introduction

Este documento descreve como trabalhar em um cenário em que o Administrador não é capaz de se autenticar em um Cisco Adaptive Security Appliance (ASA) em standby em um Par de Failover devido ao fato de que o servidor de Autenticação, Autorização e Contabilidade (AAA) está localizado em um local remoto por meio de uma LAN para LAN (L2L).

Embora seja possível usar o fallback para a autenticação LOCAL, a autenticação RADIUS para ambas as unidades é preferida.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Failover do ASA

- VPN

- Tradução de Endereço de Rede (NAT)

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

O servidor RADIUS está localizado na parte externa do Par de Failover e pode ser alcançado por meio de um túnel L2L para 12.12.12.2. Isso é o que causa o problema, pois o ASA em standby tenta alcançá-lo através de sua própria interface externa, mas não há túnel embutido nele nesse ponto; para que funcione, ele deve enviar a solicitação à interface ativa para que o pacote possa fluir pela VPN, mas as rotas sejam replicadas da unidade ativa.

Uma opção é usar um endereço IP falso para o servidor RADIUS nos ASAs e apontá-lo para o interior. Portanto, o endereço IP origem e destino desse pacote pode ser convertido em um dispositivo interno.

Router1

interface FastEthernet0/0

ip address 192.168.1.3 255.255.255.0

no ip redirects

no ip unreachables

ip nat enable

duplex auto

speed auto

ip access-list extended NAT

permit ip 192.168.1.0 0.0.0.255 host 192.168.200.250

ip nat source list NAT interface FastEthernet0/0 overload

ip nat source static 192.168.200.1 192.168.200.250

ip route 0.0.0.0 0.0.0.0 192.168.1.1

ASAs

aaa-server RADIUS protocol radius

aaa-server RADIUS (inside) host 192.168.200.250

timeout 3

key *****

authentication-port 1812

accounting-port 1813

aaa authentication serial console LOCAL

aaa authentication ssh console RADIUS LOCAL

aaa authentication telnet console RADIUS LOCAL

aaa authentication http console RADIUS LOCAL

aaa authentication enable console RADIUS LOCAL

route outside 0.0.0.0 0.0.0.0 172.16.1.3 1

route inside 192.168.200.250 255.255.255.255 192.168.1.3 1

Note: O endereço IP 192.168.200.250 foi usado no exemplo, mas qualquer endereço IP não utilizado funciona.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Router

Router#   show ip nat nvi tra

Pro Source global      Source local       Destin  local      Destin  global

udp 192.168.1.3:1025   192.168.1.1:1025   192.168.200.250:1812 192.168.200.1:1812

--- 192.168.200.1      192.168.2.1        ---                ---

--- 192.168.200.250    192.168.200.1      ---                ---

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.