Доброго времени суток,
Коллеги, недавно столкнулся с такой пролемкой с аутентификацией входа по протоколу radius. Суть проблемы в следующем. При попытке входа под доступом READONLY, USER, INSTALL (Cambium-ePMP-UserLevel - 2, 4, 5) web интерффейс предоставляет доступ под ADMIN профилем. При чем, в статусе (верхней части интерфейса) указано, "Active Read-Only Users: 1".
Может в конфигурации FreeRadius или Cambium я что то не так делаю ?
---------------
users
popov Cleartext-Password := "password123"
Cambium-ePMP-VLMGVID = "30",
Cambium-ePMP-VLANMEMSET = "16777516",
Cambium-ePMP-UserLevel = "5"
Добрый день, Виктор.
Уточните, пожалуйста:
1) Что значит при попытке доступа под READONLY, USER, INSTALL веб-интерфейс предоставляет доступ под ADMIN? Что вы вводите как имя пользователя и что в качестве пароля?
2) Версия софта?
3) Как настроено управление учетными записями?
- Device Local Only
- Remote RADIUS Server Only
- Remote RADIUS Server and Fallback to Local
Отвечаю:
1. имеется виду в настройках freeradius файл users, атрибут Cambium-ePMP-UserLevel в котором указываются права учетной записи входа на устройство. В качестве учетки при доступе через web морду указываю данные радиуса пользователя.
2. freeradius-3.0.13
ePMP1000 - 3.3
3. Remote RADIUS Server and Fallback to Local
Данный параметр может влиять на мою проблему ?
При Remote RADIUS Server and Fallback to Local, если учетки нет на радиусе или радиус не доступен, разрешены локальные учетные записи (настроенные в Configuration->System->Account Management). Если это не соответсвует желаемому результату, включите Remote RADIUS Server Only.
так это понятно, вопрос то у меня в другом был (см. выше) ..... Почему при аттрибутах Cambium-ePMP-UserLevel - 2, 4 или 5 (READONLY, USER, INSTALL) доступ на ePMP предоставляется под ADMIN профилем ??? т.е доступны к изменению вся конфигураця устройства.
К дополнению вышеуказанной проблеме, хотел обратить внимания на сообщения при успешой аутентификации генерируемая в syslog. В данном случае при входе по атрибуту профиля ADMIN (Cambium-ePMP-UserLevel - 3), syslog всегда пишет сообщения от имени admin, было бы удобней если указывалось реальнsq login согласно radius.
Добрый день Коллеги,
Хотел поинтересоваться по вышеуказанной проблеме, удалось ли вендрам внести корректировки ? Если да, то в каком релизе. Если нет, то есть ли какой нибудь способ (кроме локальный учеток) решить данную проблему ?
