Что это такое?

Это политика аутентификации для входа через Cisco-подобный сервер SSH.

Зачем это нужно?

Для контроля доступа на устройство и к его асинхронным портам. В отличие от стандартного сервиса SSH в ОС Linux, данная реализация обеспечивает:

• Подключение к асинхронным портам устройства в формате Cisco:
      ssh user:line@host ...
  (для всех пользователей и способов аутентификации).
• В сочетании с TACACS+ — доступ для пользователей, не определённых локально на данном устройстве:
  • Централизованную аутентификацию для доступа к асинхронным портам устройства.
  • Централизованную аутентификацию и покомандную авторизацию (обязательно то и другое) для доступа к конфигурации самого устройства.

Как это настроить?

Для добавления нового способа аутентификации в рамках данной политики используйте команды +, _new или _insert. Данный список является нумерованным и упорядочивается автоматически. Для удаления используйте команду - или _remove.

В зависимости от требуемого сервиса, поле service в конфигурации данного пользователя на сервере TACACS+ должно быть:

• service = racess — для доступа к асинхронным портам. Данный сервис запрашивается, если пользователь подключается в формате
      ssh user:line@host ... Применимо для пользователей, не определённых локально.
• service = exec — для доступа к конфигурации устройства без покомандной авторизации. Запрашивается, если пользователь подключается в формате
      ssh user@host ...
  и при этом настроено per-command-auth=false. Применимо только для пользователей, определённых локально (как и в стандартном SSH).
• service = shell — для доступа к конфигурации устройства с покомандной авторизацией. Запрашивается, если пользователь подключается в формате
      ssh user@host ...
  и при этом настроено per-command-auth=true. Применимо для пользователей, не определённых локально.

Если пользователю необходим доступ как к портам, так и к конфигурации устройства, то в настройках TACACS+ необходимо указать два сервиса. Пример конфигурации TACACS+ для пользователя, который может работать с асинхронными портами, настраивать их и сохранять настройки:

user = usr2 {
    debug = ALL
    pap = clear psw2
    service = raccess {
    }
    service = shell {
        script = {
            if (cmd =~ / port\.a/) permit
        }
        cmd = write {
            permit .*
        }
    }
}

Что делать, если это не работает?

1. Проверить правильность записи имён и паролей.
2. Проверить настройки серверов RADIUS и TACACS+.
3. Проверить наличие маршрутов к серверам RADIUS, TACACS+ и обратно от них на данное устройство, их доступность по сети.
4. Смотреть журналы серверов RADIUS и TACACS+.