Newsgroup: it.comp.reti.cisco
Titolo: radius

Salve a tutti, quella che segue č la configurazione di un 3620 equipaggiato
con 16 modem V90.
Mi fa da NAS con richiamata e cosě com'č funziona.
Poi ho cercato di usare l'autenticazione con server Radius presente nel IAS
di Windows 2000 server.
Dopo svariate giornate passate a provare con risultati sconfortanti eccomi
qui a chiedere aiuto!!!
I comandi 'aaa' li ho messi in tutte le salse e seguendo gli esempi ed i
consigli trovati sul sito di Cisco.
Attivato il debug ho scoperto solo un banalissimo quanto inutile "ERROR"
nell'autenticazione da Radius. Il log sul server radius riporta solo la
richiesta da parte del client (il router cisco) e nient'altro
di comprensibile ad un comune mortale. le password sono uguali, le policy
sono impostate ma se neanche autentica che se ne fa' delle policy?
Qualcuno puň aiutarmi? Magari inserendo i comandi nella configurazione?
Forse č il tipo di configurazione che non č adatta per i comandi aaa?
Insomma Help!!!!!
Grazie mille.
Umberto Perroni
Current configuration:
!
version 12.0
service timestamps debug uptime
service timestamps log datetime localtime
no service password-encryption
service udp-small-servers
service tcp-small-servers
!
hostname ras-v90
!
logging buffered 4096 debugging
no logging console
enable password xxxxxx
!
username xxxxxxxx callback-dialstring "" callback-rotary 11 password 0 xxxxx
username xxxxxxxx callback-dialstring "" callback-rotary 11 password 0 xxxxx
username xxxxxxxx callback-dialstring "" callback-rotary 11 password 0 xxxxx
username xxxxxxxx callback-dialstring "" callback-rotary 11 password 0 xxxxx
!
!
!
!
modem country microcom_hdms italy
ip subnet-zero
ip domain-name 
domain.it
ip name-server 172.16.11.2
ip name-server 172.16.11.3
!
chat-script mod ABORT ERROR ABORT BUSY "" "AT" OK "ATDT \T" TIMEOUT 30
CONNECT
chat-script offhook "" "ATH1" OK \c
chat-script callback ABORT ERROR ABORT BUSY "" "ATZ" OK "ATDT \T" TIMEOUT 30
CONNECT \c
!
!
process-max-time 200
!
interface BRI0/0
 no ip address
 no ip directed-broadcast
 shutdown
 isdn guard-timer 0 on-expiry accept
!
interface Ethernet0/0
 ip address 172.16.2.1 255.255.0.0
 no ip directed-broadcast
!
interface Async33
 ip unnumbered Ethernet0/0
 no ip directed-broadcast
 encapsulation ppp
 async mode interactive
 peer default ip address 172.16.2.11
 ppp callback accept
 ppp authentication chap
!
interface Async34
 ip unnumbered Ethernet0/0
 no ip directed-broadcast
 encapsulation ppp
 async mode interactive
 peer default ip address 172.16.2.10
 ppp callback accept
 ppp authentication chap
!
interface Async35
 ip unnumbered Ethernet0/0
 no ip directed-broadcast
 encapsulation ppp
 async mode interactive
 peer default ip address 172.16.2.12
 ppp callback accept
 ppp authentication chap
!
interface Async36
 ip unnumbered Ethernet0/0
 no ip directed-broadcast
 encapsulation ppp
 async mode interactive
 peer default ip address 172.16.2.13
 ppp callback accept
 ppp authentication chap
!
ip classless
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
ip route 0.0.0.0 0.0.0.0 172.16.1.1
no ip http server
!
!
line con 0
 transport input none
line 33 36
 autoselect ppp
 script modem-off-hook offhook
 script callback callback
 modem InOut
 rotary 11
 stopbits 1
 flowcontrol hardware
line 37 48
line aux 0
line vty 0 4
 password xxxxxxx
 login
!
end

Partendo dal presupposto che lo IAS di Windows 2000 e' meglio
cancellarlo dall'hard disk (acluni motivi: 1-microsoft tende
a fare prodotti con la politica del "non ti preoccupare di come
si configura, e' tutto automatico", per cui la configurazione
dello IAS e' tutto sommato un casino, anche perche' strettamente
legata al dominio AD o comunque alle security policy del server NT;
2-come e' tipico di windows, anche lo IAS non genera un log decente,
per cui non sai mai cosa sta facendo e cosa sta succedendo a livello
radius)
tra l'altro, visto che ti serve il callback, potresti anche usare
il radius per creare file di accounting che ti mostrino lo storico
delle chiamate effettuate, per un controllo costi.
innanzitutto non ho visto i comandi aaa nella configurazione che hai
postato.
Se devi autenticare gli utenti solo in ppp/chap, prova a mettere
!
aaa new-model
aaa authentication ppp default if-needed group radius local
aaa authorization network default group radius local
aaa accounting network default start-stop group radius
aaa accounting update newinfo
!
radius-server host a.b.c.d non-standard
radius-server key ******
radius-server vsa send authentication
radius-server vsa send accounting
!
nelle interfacce che devi autenticare aggiungi
!
 ppp authentication chap callin
!
(non conviene fare un interfaccia Group-Async unica ??)
nella reply list del profilo utente ci deve essere
Service-Type=Callback-Framed (o come si chiama nel dizionario IAS)
E' probabile che l'autenticazione comunque non funzioni x uno dei seguenti
motivi:
* Il radius non restituisce Service-Type=Callback-Framed
* Lo IAS e' configurato per usare MS-CHAP o altri medoti x la password
* (banale) la secret key del cisco non coincide con quella dello IAS
consiglio personale: usa un altro radius, qualunque, anche freeware.....
Alberto Pastore.
--
---------------------------------------------------
Alberto Pastore - Software Development
Master Soft S.p.A. - Piazzale Lombardia, 4
28100 Novara (NO) - ITALY
Phone 
+39-0321-466889
Fax   
+39-0321-465939
email: 
alberto...@mastersoft-italia.com
web:   
http://www.dialways.com
 
http://www.mastersoft-italia.com
ICQ UIN: 38632767
---------------------------------------------------

Ti ringrazio delle delucidazioni., mi sono state di molto aiuto.
Ora l'autenticazione Radius funziona ma non la richiamata. Da quello che
leggo (forse interpretando male) sembrerebbe che il callback sotto Radius
non sia gestito dall'IOS di Cisco.
Io uso in questo momento il server Radius di NT 4 (quello del 2000 lo
proverò poi), ma, se il callback per Radius non è gestito dall'IOS, è
inutile che impazzisca su qualsivoglia software Radius.
Tu hai prove o configurato router Cisco (2600,3600) che facciano la
richiamata con il Radius?
Grazie ancora e Ciao!!

 wrote in message
news:9g4hdb$71ceg$1...@ID-84672.news.dfncis.de...


 wrote in message
news:9g4t8o$6snlt$1...@ID-44726.news.dfncis.de...
