Newsgroup: it.comp.reti.cisco
Titolo: Aiuuuuuuuuuuuuuutooooooo.

Salve a tutti,
ho un cisco 2509 che autentica i miei utenti ppp tramite tacacs su di un
server unix.
Non ho piu' voglia di autenticarli con tacacs ed ho deciso di inserire gli
utenti in locale (questo per evitare che chi ha l'account di posta possa
collegarsi via modem).
Non solo, preferirei usare chap (era quasi ora!!!!).
Il problema sorge quando voglio avere le statistiche di accesso.
Premesso che la versione di IOS e' la 10.2 (ahime!!!!!!) e mando i messaggi di
debugging su una macchina unix, non riesco a vedere quale utente si e'
collegato.
Se avete voglia di perdere tempo (e se vi potra' essere utile) qui potete
trovare la configurazione del mio cisco (ovviamente tagliata).
Grazie a tutti,
   Francesco
version 10.2
no service finger
service password-encryption
!
hostname modems
!
enable password
!
username cisco access-class 99
username armonia 
username armonia autocommand ppp
username servizio access-class 97
!
interface Ethernet0
ip address 195.120.213.2 255.255.255.128
ip address 195.103.122.130 255.255.255.128 secondary
!
interface Serial0
no ip address
shutdown
!
interface Serial1
no ip address
shutdown
!
interface Async1
ip unnumbered Ethernet0
ip tcp header-compression passive
encapsulation ppp
async default ip address 195.120.213.5
async mode interactive
!
interface Async7
no ip address
shutdown
!
interface Async8
ip unnumbered Ethernet0
ip tcp header-compression passive
encapsulation ppp
async default ip address 195.103.122.133
async mode dedicated
ppp authentication chap
!
ip default-gateway 195.120.213.1
ip domain-name 
cmns.mnegri.it
ip name-server 195.120.213.3
ip default-network 195.120.213.0
ip route 0.0.0.0 0.0.0.0 195.120.213.1
logging 195.120.213.3
tacacs-server host 195.120.213.3
tacacs-server extended
tacacs-server authenticate connections
tacacs-server authenticate slip
!
line con 0
login local
line 1 7
exec-timeout 2 30
login tacacs
modem InOut
autocommand ppp
script dialer cisco-default
transport preferred none
stopbits 1
rxspeed 57600
txspeed 57600
flowcontrol hardware
line 8
exec-timeout 2 30
login local
modem InOut
autocommand ppp
script dialer cisco-default
transport preferred none
stopbits 1
rxspeed 57600
txspeed 57600
flowcontrol hardware
line aux 0
line vty 0 4
access-class 99 in
no exec-banner
login local
!
end

 Il problema sorge quando voglio avere le statistiche di accesso.
Magari quello che ti dico non risolve i tuoi problemi.
Pero' tutti gli schemi un po' pu' moderni di tacacs (xtacacs, tac+,
radius...)
consentono autenticazione addizionale all'atto della connessione tramite
un programma
che viene fatto girare sul server.
Per cui,  per evitare che un account solo mailbox possa colegarsi
tramite modem,
metti i POP-only tutti in un gruppo e precludi l'accesso via
configurazione o via
programma speciale.
Cosi' riduci i problemi di accounting e di gestione passwords.
Giusto le mie due lire (0.01, in euro)
Cheers,
	Alessandro


Hai provato a far lavorare le tacacs solo sul sottoinsieme di utenti che devono
essere
effettivamente autorizzati all'accesso usando un file alternativo (e limitato) al
classico
/etc/passwd?
--
 
mas...@bossolo.cce.unipr.it

/etc/passwd?
col tacazz si puo' agevolmente creare un utente o un gruppo di utenti cui
al momento dell'autorizzazione sia affibbiata un access list configurata
sull'access-server. Un access-list del tipo fai passare solo smtp pop3 imap4
e blocca tutto il resto consente agevolmente di crearsi utenze mail only.

>> collegarsi via modem).
Scusate, non ho seguito la prima parte della discussone, non basta che l'
utente che deve fare solamente posta elettronica non compaia affatto nel
file di configurazione del tacacs?
Claudio

>(questo per evitare che chi ha l'account di posta possa collegarsi via
modem).
Maybe OFF TOPIC
Scusate, non ho seguito la prima parte della discussione, non basta che gli
utenti abilitati solamente per la posta elettronica non compaiano affatto


file di configurazione del tacacs?
Beh, si ma a questo punto deve entrare in Internet da un altro punto..
Cosi' invece puoi dargli la mailbox anche se non ha altri abbonamenti
internet.