Newsgroup: it.comp.reti.cisco
Titolo: Radius + Authentication Proxy

Salve
ho configurato il mio router cisco con ios firewall per fare Authentication
Proxy, in pratica per navigare su internet bisogna autenticarsi su un server
Radius.
Ho configurato il server Radius incluso su win2000 server, il router
comunica con il server ma l'autenticazione non va, chi puň aiutarmi?
il  log sever:
Tipo evento: Avviso
Origine evento: IAS
Categoria evento: Nessuno
ID evento: 2
Data:  11/06/2002
Ora:  20.18.38
Utente:  N/D
Computer: SERVER
Descrizione:
Accesso negato all'utente prova.
 Fully-Qualified-User-Name = 
YTN.y-technet.com/Users/prova
 NAS-IP-Address = 10.0.0.107
 NAS-Identifier = <not present>
 Called-Station-Identifier = <not present>
 Calling-Station-Identifier = 10.0.0.102
 Client-Friendly-Name = proxy
 Client-IP-Address = 10.0.0.1
 NAS-Port-Type = Async
 NAS-Port = <not present>
 Policy-Name = Consenti accesso se l'autorizzazione chiamate in ingresso č
abilitata
 Authentication-Type = PAP
 EAP-Type = <undetermined>
 Reason-Code = 66
 Reason = L'utente ha tentato di utilizzare un metodo di autenticazione non
autorizzato.

Forse se ci dici come hai configurato il router ti possiamo aiutare.
Bye
Faby
--------------------------------
Inviato via 
http://usenet.iol.it
 

 ha scritto nel messaggio
news:192Z106Z52Z2Y1...@usenet.iol.it...


 ha scritto:
SNIPPING
Prova a mettere:
radius-server host 10.0.0.189 auth-port
1645 acct-port 1646
radius-server key xxxx
privilege exec level 7 clear
line


Mi da ancora fallita secondo me basglio a configurare windows ai qualche
link da susserire§?
A cosa serve privilege exec level 7 clear line ?
le porte radius le setta automaticamente e la comunibicazinone con server
c'è il mio dubbio è:
******log windows 2000 server *********
Authentication-Type = PAP
 EAP-Type = <undetermined>
 Reason-Code = 66
 Reason = L'utente ha tentato di utilizzare un metodo di autenticazione non
autorizzato
che windows non voglia qualcosa di diverso dal PAP
Grazie
Questa e tutta la configurazione
Building configuration...
Current configuration : 2140 bytes
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname YTN
!
logging rate-limit 3
aaa new-model
!
!
aaa group server radius RTP
 server 10.0.0.168 auth-port 1645 acct-port 1646
!
aaa authentication login default group RTP none
aaa authorization exec default group RTP none
aaa authorization auth-proxy default group RTP
aaa session-id common
enable secret 5
enable password
!
memory-size iomem 20
ip subnet-zero
!
!
!
ip auth-proxy auth-proxy-banner
ip auth-proxy auth-cache-time 10
ip auth-proxy name list_a http
ip audit notify log
ip audit po max-events 100
ip ssh time-out 120
ip ssh authentication-retries 3
vpdn enable
!
vpdn-group pppoe
 request-dialin
  protocol pppoe
!
!
crypto mib ipsec flowmib history tunnel size 200
crypto mib ipsec flowmib history failure size 200
!
!
!
interface ATM0/0
 no ip address
 no ip mroute-cache
 atm vc-per-vp 256
 no atm ilmi-keepalive
 dsl operating-mode auto
 no fair-queue
 hold-queue 224 in
!
interface ATM0/0.1 point-to-point
 pvc 8/35
 pppoe-client dial-pool-number 1
 !
!
interface FastEthernet0/0
 ip address 10.0.0.1 255.255.0.0
 ip access-group 116 in
 ip nat inside
 ip auth-proxy list_a
 no ip mroute-cache
 speed auto
 full-duplex
!
interface Dialer1
 ip address negotiated
 ip mtu 1492
 ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp authentication pap callin
 ppp pap sent-username password 7
!
ip nat inside source list 1 interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
ip http server
ip http authentication aaa
ip pim bidir-enable
!
logging trap debugging
logging source-interface FastEthernet0/0
logging 10.0.0.168
access-list 1 permit 10.0.0.0 0.0.255.255
access-list 116 permit tcp 10.0.0.0 0.0.0.255 any
access-list 116 permit udp 10.0.0.0 0.0.0.255 any
access-list 116 permit icmp 10.0.0.0 0.0.0.255 any
!
radius-server host 10.0.0.168 auth-port 1645 acct-port 1646
radius-server retransmit 3
radius-server key xxxx
privilege exec level 7 clear line
!
line con 0
line aux 0
line vty 0 4
 password
!
end

Ora settando meglio il server ho l'ok mi autorizza... ma il router mi da
sempre ancora fallimeto......
*****log server *******
Tipo evento: Informazioni
Origine evento: IAS
Categoria evento: Nessuno
ID evento: 1
Data:  13/06/2002
Ora:  19.56.05
Utente:  N/D
Computer: SERVER
Descrizione:
Accesso consentito all'utente admserver.
 Fully-Qualified-User-Name = 
YTN.y-technet.com/Users/admserver
 NAS-IP-Address = 10.0.0.1
 NAS-Identifier = <not present>
 Client-Friendly-Name = proxy
 Client-IP-Address = 10.0.0.1
 NAS-Port-Type = Async
 NAS-Port = <not present>
 Policy-Name = Consenti accesso se l'autorizzazione chiamate in ingresso è
abilitata


Quando cerco di accedere al router in telnet devo autenticarmi, dopo
l'autenticazione mi appare
This line may not run PPP
Grazie a chiunque mi possa aiutare e anche a chi no

 aaa session-id common
SNIP
Secondo me ti manca un "aaa authentication ppp ..."
Prova con 
aaa authentication ppp default group RTP none
o con qualcosa del genere
Ciao
Roberto
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG



Stai tentando un reverse
telnet, prova ad aggiungere nella configurazione:
aaa authorization
reverse-access default group RTP none


Niente da fare per il server radius va tutto ok ma il router continua a
negare l'accesso


il comando provato è
aaa authentication network ppp group RTP none
ma niente da fare


 ma niente da fare
Che io sappia "aaa authentication network" non esiste, esiste invece
"aaa authorization network.." ma e' un'altra cosa.
Perdonami se insisto, ma prova con "aaa authentication ppp.."


Mea culpa l'istruzione esiste mi ero sconfonduto io....però non va lo stesso
.....
User Access Verification
Username: prova
Password:
This line may not run PPP.
Connessione all'host perduta.
C:\>

Vi sottopongo il debug....lo status č PASS e allora perchč mi da fallimento
     Cisco Systems
     Authentication Failed !
Chi mi puņ suggerire il motivo......
00:30:51: AAA: parse name=FastEthernet0/0 idb type=-1 tty=-1
00:30:51: AAA: name=FastEthernet0/0 flags=0x15 type=12 shelf=0 slot=0
adapter=0 port=0 channel=0
00:30:51: AAA: parse name=<no string> idb type=-1 tty=-1
00:30:51: AAA/MEMORY: create_user (0x817B1DBC) user='NULL' ruser='NULL'
ds0=0 port='FastEthernet0/0' rem_addr='10.0.0.102' authen_type=ASCII
service=LOGIN priv=0 initial_task_id='0'
00:30:51: AAA/AUTHEN/START (3051530175): port='FastEthernet0/0'
list='default' action=LOGIN service=LOGIN
00:30:51: AAA/AUTHEN/START (3051530175): found list default
00:30:51: AAA/AUTHEN/START (3051530175): Method=RTP (radius)
00:30:51: AAA/AUTHEN(3051530175): Status=GETUSER
00:30:51: AAA/AUTHEN/CONT (3051530175): continue_login (user='(undef)')
00:30:51: AAA/AUTHEN(3051530175): Status=GETUSER
00:30:51: AAA/AUTHEN(3051530175): Method=RTP (radius)
00:30:51: AAA/AUTHEN(3051530175): Status=GETPASS
00:30:51: AAA/AUTHEN/CONT (3051530175): continue_login (user=' XXXXX ')
00:30:51: AAA/AUTHEN(3051530175): Status=GETPASS
00:30:51: AAA/AUTHEN(3051530175): Method=RTP (radius)
00:30:51: AAA/AUTHEN(3051530175): Status=PASS
YTN#NO DEB all

Guarda io ho provato la tua stessa cosa, ed usando un radius su unix e u
'debug radius' sul mio cisco  sono riuscito a risolvere il tuo stesso
problema. 
Sei sicuro di aver impostato correttamente i tuoi reply-item sul radius?
Ricorda che devi aggiungere questi reply-items per ogni utente:
auth-proxy:priv-lvl=15
auth-proxy:proxyacl#1=permit icmp any any
auth-proxy:proxyacl#2=permit tcp any any
auth-proxy:proxyacl#3=permit udp any any
Max