[uanog] Проблема при выдаче статического ip адреса через tacacs на C5350.

22 Jun 2008

      Добрый день.

Пытаясь запустить dialin modems в работу на Сisco 5350, столкнулся
с проблемой выдачи статического IP адреса через TACACS ...

IOS - Cisco IOS Software, 5350 Software (C5350-IK9SU2-M), Version 12.4(6)XE2, RELEASE SOFTWARE (fc1)

Т.е. у меня настроена выдача динамических IP адресов через локальный pool
на CISCO, но для некоторых юзеров используется выдача статических адресов.

Для этой цели, в TACACS  (inet-admin версия) используется конструкция:

group = ppp {
         login = file /etc/tac_passwd
         pap = file /etc/tac_passwd
         message = "PPP enabled."
         users = s*
         maxsess = 1
         after authorization "/usr/local/tac_plus/tac_auth_ip $user $port $name $address"
         service = ppp protocol = ip {
                 addr-pool = "default"
                 inacl = "100"
         }
         service = ppp protocol = lcp {
         }
         service = ppp protocol = ipcp {
         }
         service = exec {
                 autocmd = "ppp negotiate"
         }

При этом, если не привязывать пользователя к статическому IP я не наблюдаю проблем:

[skip
Jun 22 18:19:30.059 EEST: T+: Version 192 (0xC0), type 2, seq 2, encryption 1
Jun 22 18:19:30.059 EEST: T+: session_id 244252136 (0xE8EFDE8), dlen 58 (0x3A)
Jun 22 18:19:30.059 EEST: T+: AUTHOR/REPLY status:2 msg_len:0, data_len:0 arg_cnt:4
Jun 22 18:19:30.059 EEST: T+: msg:
Jun 22 18:19:30.063 EEST: T+: data:
Jun 22 18:19:30.063 EEST: T+: arg[0] size:11
Jun 22 18:19:30.063 EEST: T+:  service=ppp
Jun 22 18:19:30.063 EEST: T+: arg[1] size:11
Jun 22 18:19:30.063 EEST: T+:  protocol=ip
Jun 22 18:19:30.063 EEST: T+: arg[2] size:9
Jun 22 18:19:30.063 EEST: T+:  inacl=100
Jun 22 18:19:30.063 EEST: T+: arg[3] size:17
Jun 22 18:19:30.063 EEST: T+:  addr-pool=default
Jun 22 18:19:30.063 EEST: T+: End Packet
Jun 22 18:19:30.063 EEST: TPLUS(000C0FA7)/1/641076BC: Processing the reply packet
Jun 22 18:19:30.063 EEST: TPLUS: Processed AV service=ppp
Jun 22 18:19:30.063 EEST: TPLUS: Processed AV protocol=ip
Jun 22 18:19:30.063 EEST: TPLUS: Processed AV inacl=100
Jun 22 18:19:30.063 EEST: TPLUS: Processed AV addr-pool=default
Jun 22 18:19:30.063 EEST: TPLUS: received authorization response for 790439: PASS
Jun 22 18:19:30.063 EEST: As2/01 IPCP: Received AAA AUTHOR Response PASS
Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: service
Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: inacl: Peruser
Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: addr-pool
Jun 22 18:19:30.063 EEST: As2/01 AAA/AUTHOR/FSM: We can start IPCP
[skip]

Но стоит выполнить привязку и возвратить на NAS AV pair c выделенным IP адресом,
то получаем отлуп:

[skip]
Jun 22 18:24:14.314 EEST: T+: Version 192 (0xC0), type 2, seq 2, encryption 1
Jun 22 18:24:14.314 EEST: T+: session_id 1419378946 (0x549A0102), dlen 61 (0x3D)
Jun 22 18:24:14.314 EEST: T+: AUTHOR/REPLY status:2 msg_len:0, data_len:0 arg_cnt:4
Jun 22 18:24:14.314 EEST: T+: msg:
Jun 22 18:24:14.314 EEST: T+: data:
Jun 22 18:24:14.314 EEST: T+: arg[0] size:11
Jun 22 18:24:14.314 EEST: T+:  service=ppp
Jun 22 18:24:14.314 EEST: T+: arg[1] size:11
Jun 22 18:24:14.314 EEST: T+:  protocol=ip
Jun 22 18:24:14.314 EEST: T+: arg[2] size:9
Jun 22 18:24:14.314 EEST: T+:  inacl=100
Jun 22 18:24:14.314 EEST: T+: arg[3] size:20
Jun 22 18:24:14.314 EEST: T+:  addr=195.184.193.135
Jun 22 18:24:14.314 EEST: T+: End Packet
Jun 22 18:24:14.314 EEST: TPLUS(000C0FA9)/1/63A22220: Processing the reply packet
Jun 22 18:24:14.314 EEST: TPLUS: Processed AV service=ppp
Jun 22 18:24:14.314 EEST: TPLUS: Processed AV protocol=ip
Jun 22 18:24:14.314 EEST: TPLUS: Processed AV inacl=100
Jun 22 18:24:14.314 EEST: TPLUS: Failed to decode AV addr=195.184.193.135 - FAIL
Jun 22 18:24:14.318 EEST: As2/22 IPCP: Received AAA AUTHOR Response FAIL
Jun 22 18:24:14.318 EEST: As2/22 AAA/AUTHOR/FSM: We cannot start IPCP
[skip]

В такой же конфигурации на CISCO 5300 все работает без проблем.

Возникают вопросы к тем, кто эксплуатирует у себя 5350 :

1) Что можно волшебного сказать моей 5350 что бы она стала понимать приходящую AV пару.

2) Если это ошибка IOS-a - то какой IOS постабильнее посоветуете для переезда.
    Нужно учитывать что помимо dialup эта железка обслуживает еще и VoIP.

===================================================================
uanog mailing list.
To Unsubscribe: send mail to majordomo@uanog.kiev.ua
with "unsubscribe uanog" in the body of the message

[uanog] Проблема при выдаче статического ip адреса через tacacs на C5350.

Yury Yaroshevsky