ID:44688

  • フォーラムは新サイトへ移行しました。
  • このフォーラムではゲスト投稿が禁止されています

なし ID:44688

msg# 1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-26 17:46
LEVVIN  常連   投稿数: 16
何度解いても何度説明を読んでも全然理解できなくて困ってます。

「設問の設定をしたR1にコンソールケーブルで接続をすると以下のようになります。」にある画像の説明内で

「特権モードに入ろうとるすると」(誤字?)のくだりの※部分
「PASS3」「PASS4」で試しても同様に特権モードに入れない
と書いてます。

なのに直後の記述は、「PASS4」を入力すると特権モードに入れている。

矛盾してませんか?ログイン時の「Password:」はこの表示で暗号化の有無がわかる見た目の違いってなかったですよね?
未だにこの問題系、何が優先されるのか整理がついていないので何かとごっちゃになっているのなら、ご教授願えませんか?

なし Re: ID:44688

msg# 1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 .2 | 投稿日時 2020-5-26 19:43
kaminaringo  長老   投稿数: 79
図の中の※が間違ってますね。※の「PASS4」が不要。
その後の「PASS4」を入力は正しいです。

>ログイン時の「Password:」はこの表示で暗号化の有無がわかる見た目の違いってなかったですよね?
無いはずです。
ここで判断するのではなく、解説にある以下がポイントです。
>・特権モードに移行するためのパスワードは「PASS3」と「PASS4」が設定されている
>→「enable password」と「enable secret」がある場合は、セキュリティレベルの高い「enable secret」が優先される

>整理がついていないので何かとごっちゃになっているのなら
まずはlineパスワードとenableパスワードを抑えるところから始めると良いかもしれません。
37202にある【パスワードと操作モード】の図がわかりやすそうです。
44688は、この図の「enableパスワード入力」の位置についての問題になってます。

で、これにAAAが絡んできます。
「aaa authentication login default」があったらlineパスワードはこれが最優先になる。
「aaa authentication enable default」があったらenableパスワードはこれが最優先になる。
だったと思います。

なし Re: ID:44688

msg# 1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-27 8:59
staff_koba  長老 居住地: 涼しい場所  投稿数: 501
LEVVINさん
kaminaringoさん

ご指摘の点を修正いたしました。
ご報告、誠にありがとうございました

なし Re: ID:44688

msg# 1.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-27 17:48
LEVVIN  常連   投稿数: 16
staff様
修正、ありがとうございます。
ですが、どうせならその前の誤字のほうも直していただけませんか?影響がないレベルとはいえ、無料範囲ならまだしも有料範囲の問題ですので・・・。

なし Re: ID:44688

msg# 1.1.2
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-27 18:19
LEVVIN  常連   投稿数: 16
kaminaringo様
ありがとうございます。
改めて整理してみましたが、やはり躓いています。

>→「enable password」と「enable secret」がある場合は、セキュリティレベルの高い「enable secret」が優先される
私もその認識でいるのですが、それを真っ向から否定しているのがID:42007なんです。正解は「Pass2」で、私は「Pass3」だと思っているのですが、【ユーザーアカウント作成の注意事項】で話していることが私にとっては滅茶苦茶です。
図の「有効になるのは後から入力した方のみ」という観点で見ても答えはPass3になるはずだし、
そもそもkaminaringo様が仰ったことに則ると、エラー説明の「後から入力しているsecretは受け付けられていない」は矛盾しています。これはsecretが優先されるべきですよね?

>「aaa authentication 〜 最優先になる。
やっていくうちに、そういうことなのかな?と思っていたことが確信になりました。ありがとうございます。
ですがこの認識ではID:42244の疑問が解決していません。
2行目の「aaa authentication login USE_LINE line」でlineのときにAAAを使用すると定義して
一番下の行で「login authentication USE_LINE」と、AAAでのログインを有効にしています。
ということはその前にlineパスワードを設定していようとAAAが最優先されて、入力しなければならないのはUSE_LINE内で設定されたユーザ名tanakaとパスワードciscoにならないとおかしいですよね?

何かと混同、認識間違いしているのでしたら、ご指摘下さい。

なし Re: ID:44688

msg# 1.1.2.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-27 20:44
kaminaringo  長老   投稿数: 79
お、何やら解説と参考に情報が増えてますね。

>その前の誤字のほうも直して
今確認した段階では直ってました。※の部分ですよね?
まだ直ってない場合はキャッシュのせいだと思うのでスーパーリロードかキャッシュクリアを試してみると良いかも。

>それを真っ向から否定しているのがID:42007
なるほど、意識してなかったですがusernameってこんな動きするんですね。

>矛盾しています
よく見てください、別のコマンドです。
44688は「enable 〜」 
42007は「username 〜」
目的もコマンドも違うので、それぞれの動きが違ってもおかしくありません。
同じ動きだったらわかりやすく覚えやすいですが、これはもうそういう物として覚えるしかないかな・・・

>ID:42244の疑問
methodをよく見てください。
「line」になっています。このmethodでは(config-line)#passswordが使われます。

>ユーザ名tanakaとパスワードcisco
usernameを使う場合のmethodは「local」です。
https://www.infraexpert.com/study/aaaz05.html

整理するためにも、ご自身で検証してみることをお勧めします。
実機も中古ならCCNAに落ちるよりは安く買えますし、パケットトレーサーなら無料でダウンロードできたかと思います。

なし Re: ID:44688

msg# 1.1.2.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-28 0:49
LEVVIN  常連   投稿数: 16
>今確認した段階では直ってました。※の部分ですよね?
※の3つほど上の部分のことです。前の書き込みでわざと(誤字?)と書いたのですが・・・。クリアしましたが、やはり※部分が「Pass1」「Pass3」と修正がされただけで、誤字はそのままです。

>42007
>よく見てください、別のコマンドです。
別のコマンドだという認識ではありませんでした。私が引用したとおり「後から入力しているsecretは受け付けられていない」と書かれていたこともあり「secret」という単語の動作を説明しているものと認識していました。ですが、今解説を見るとその部分はちゃんと「username secret」となってますね・・・私が見間違えたのか修正が入ったのか・・・。
納得いきませんが、Packet Tracerで確かにsecretは弾かれて同じ動作をしました。usernameはあべこべで一貫性のない動作をすると覚えるしかないですか・・・。


>42244
>「line」になっています。このmethodでは(config-line)#passswordが使われます。
これはline(ユーザモード)に入るときに「USE_LINE」というリストを参照して認証するということではないのですか?
仰る通りlineパスワードで設定したものを参照するのであれば、「USE_LINE」というリストは認証で一切使われないということになりますよね?ましてや同一行で記述されているのでUSE_LINEとLINEパスワードに優先度もなにもないですよね。では何のためにこのリストを設定しているのですか?
しかも最後の行は#login authenticationと、ちゃんとAAAを認証に使うようになっています。ですので設定だけして使わないということでもないはずです、最優先じゃないのでしょうか。

ちなみに、これもPacket Tracerでやってみましたが、以下のようにエラーが出ました。検証不可能です。

Router#conf t
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#aaa new-model
Router(config)#aaa authentication login USE_LINE line
^ (←lineの「i」にマークされていました)
% Invalid input detected at '^' marker.

lineではなくlocalと打った場合はエラーは出ませんでしたが・・・マーカー位置を見るに、localしかコマンドとして認識されていないとかでしょうか。

なし Re: ID:44688

msg# 1.1.2.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-28 9:36
arashi1977  長老 居住地: 広島  投稿数: 1715
引用:
>42007
>よく見てください、別のコマンドです。
別のコマンドだという認識ではありませんでした。私が引用したとおり「後から入力しているsecretは受け付けられていない」と書かれていたこともあり「secret」という単語の動作を説明しているものと認識していました。ですが、今解説を見るとその部分はちゃんと「username secret」となってますね・・・私が見間違えたのか修正が入ったのか・・・。
納得いきませんが、Packet Tracerで確かにsecretは弾かれて同じ動作をしました。usernameはあべこべで一貫性のない動作をすると覚えるしかないですか・・・。
kaminaringoさんが指摘している通り、もともと42007はusernameコマンド(ローカルデータベースへのユーザ作成)の設問であって、特権ユーザ用のパスワード設定に関する設問ではありません。また解説の「【ユーザーアカウント作成の注意事項】」にもあるとおり
引用:
1つのユーザー名に対して「password」または「secret」のどちらか一方しか使用できない
と言っています。ちなみに、あべこべで一貫性のない動作ではなく、歴史的な理由やシステム的な制約もあるかなと思っています。

enable password/secret:もともとenable passwordが使われていたが、パスワード解読ツールが出回ったため、復号できないenable secretがあとから追加された。そのため、コンフィグやIOSのバージョン相違でも両方入るようになっている。(両方設定があれば、よりセキュアなenable secretが優先される)
※特権レベルへの昇格に使うパスワード(シークレット)なので、データベースのキーとかいう考え方はない

username password/secret: ユーザ名はローカルデータベースのキーなので、二重に登録させられない。なのでpassword→secretの切り替えがしたければ一旦削除が必要。(推測)

引用:
>42244
>「line」になっています。このmethodでは(config-line)#passswordが使われます。
これはline(ユーザモード)に入るときに「USE_LINE」というリストを参照して認証するということではないのですか?
あってますね。

引用:
仰る通りlineパスワードで設定したものを参照するのであれば、「USE_LINE」というリストは認証で一切使われないということになりますよね?
line vtyの「login authentication USE_LINE」で使われていますよ。(解説の図にも記載あり)

引用:
ましてや同一行で記述されているのでUSE_LINEとLINEパスワードに優先度もなにもないですよね。では何のためにこのリストを設定しているのですか?
ごっちゃになってるみたいですね。
この問題は「aaa authentication login」で
- default ではない任意のリストを作成していて
- 認証メソッドに line が設定されていて(line パスワードを使う)
- username コマンドでローカルデータベースが作成されていて(ダミー)
- vty に line パスワードが設定されていて(USE_LINE リストが参照するパスワード)
- vty に「login authentication USE_LINE」(任意のリストが指定)されている
場合に、telnetで(VTYに)接続する際の認証方式およびパスワードがどれになるかを聞かれているものですよ。

引用:
しかも最後の行は#login authenticationと、ちゃんとAAAを認証に使うようになっています。ですので設定だけして使わないということでもないはずです、最優先じゃないのでしょうか。
そのとおりで、AAA認証でUSE_LINE(つまりline vtyのpasswordで設定されたパスワード)をつかった認証をするようになっていますよ。

落ち着いてそれぞれ(44688, 42007, 42244)の解説を読んで、解説のどの部分に対しての疑問かを整理してみてください。もしかすると、新しく気づきがあるかもしれませんよ。

なし Re: ID:44688

msg# 1.1.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿なし | 投稿日時 2020-5-28 10:03
staff_koba  長老 居住地: 涼しい場所  投稿数: 501
LEVVINさん

ご指摘の点を修正いたしました。
ご報告、誠にありがとうございました

なし Re: ID:44688

msg# 1.1.2.1.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-5-28 22:11
LEVVIN  常連   投稿数: 16
arashi1977様
ありがとうございます。

>username password/secret: ユーザ名はローカルデータベースのキーなので、二重に登録させられない。なのでpassword→secretの切り替えがしたければ一旦削除が必要。(推測)
この42007で言うと、「username "suzuki"」を読んだ時点で、すでに登録されているキーだと認識して、以降の入力は読み込むまでもなく弾く仕様、ってことですかね・・・でもそうだとするなら、暗号化無し同士・有り同士のときでも上書きではなく弾かれないと一貫性がないと思うのですよね。入力結果がこうなっている以上、ここで何を言ってもそういうものだと理解するしかないのですが・・・。

>42244
>login authentication USE_LINE
整理できた気がします。これは、
 1.優先度の順で最優先されたAAAが認証に選択される(といってもここではAAAしかloginされてないですが)
 2.このAAAは、USE_LINEというリストを使う
 3.USE_LINEというリストは、lineパスワードを使う(とmethodで定めている)
  →lineパスワードは1つしか設定できなかったですよね?(複数のパスワードを設定できないですよね?)
  「リスト」と言っているが、methodがlineの時はリスト内にはlineパスワードの1つしかパスが存在しないということですよね?
 4.よって「GREEN」と設定されているlineパスワードを使用する

ということで合ってますか?
そこで疑問なのですが、わざわざAAAを経由してlineパスワードを使う意味って何なのでしょうか。lineパスワードはこんな面倒なことしなくても単純にloginで有効にすればlineパスワードが認証に使われます。
AAAを使って認証するだけではセキュリティ強化には繋がらないですよね?radiusとかの暗号化や、ローカルデータベースのようにユーザごとにパスワードの設定を変えることで、初めてセキュリティ強化が望めると思っているのですが・・・。

それと本筋ではないのですが、前回のコメントの通り、なぜPacket Tracerでエラーが出たのでしょうか。
lineをmethodにするために必要な前提条件でもあるのでしょうか。例えばlineパスワードを先に作られていないと作成できないとか・・・?

なし Re: ID:44688

msg# 1.1.2.1.1.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿.1 | 投稿日時 2020-6-4 9:04
arashi1977  長老 居住地: 広島  投稿数: 1715
引用:
入力結果がこうなっている以上、ここで何を言ってもそういうものだと理解するしかないのですが・・・。
あまり悩まず、そういうものだと理解するのも必要かもしれません…
( show ip ospf neighbor と show ip eigrp neighbors はなぜ s がついたりつかなかったりするのか、という質問もあったりしますが根本は同じことかと

引用:
>42244
>login authentication USE_LINE
整理できた気がします。これは、
(略)
ということで合ってますか?
はい、その理解であってます。

引用:
そこで疑問なのですが、わざわざAAAを経由してlineパスワードを使う意味って何なのでしょうか。lineパスワードはこんな面倒なことしなくても単純にloginで有効にすればlineパスワードが認証に使われます。
これはこの問題だけ見るからそう感じるのかもしれません。

この設問では line だけを使うメソッドリストが定義されていますが、他の問題(42241とか)で触れられているように「指定したメソッドが使用できない場合のフォールバック」という動作を想定してみてください。
・最初は radius 認証 → NG(ネットワーク接続なしのため、など)
・次にローカルデータベース認証 → NG(ローカルデータベースが壊れてるとか、まぁなんかの理由)
・それでもなんか認証した上でのログインにしたいので「line」パスワードを指定 → OK

こういうのだと
aaa authentication login FOO group radius local line
って指定したら上記の要件にマッチします。
問題ID:42244はそれを単純化して「AAAでlineパスワードを使った認証もできるよ」を学習させるためのものなのかな、と思います。

引用:
それと本筋ではないのですが、前回のコメントの通り、なぜPacket Tracerでエラーが出たのでしょうか。
lineをmethodにするために必要な前提条件でもあるのでしょうか。例えばlineパスワードを先に作られていないと作成できないとか・・・?
ごめんなさい、私は Packet Tracer を使っていないのでこれはわからないです…

なし Re: ID:44688

msg# 1.1.2.1.1.1.1.1.1
前の投稿 - 次の投稿 | 親投稿 - 子投稿なし | 投稿日時 2020-6-4 20:15
LEVVIN  常連   投稿数: 16
いろいろスッキリしました。

フォールバックもそう言っていただいて、やっとしっかり理解できました。問題だけ解いても、そういうことができる、ということばかりに意識がいって実際どのような場合にそれを使うかが抜けてしまいがちなので・・・。

Packet Tracerは・・・まぁあくまでもシミュレータなので、大丈夫です。特に理由がなければ気にしません。あのコマンドのmethod候補にlineが登録されていないとか、そういうことだと勝手に思っています。

ありがとうございました。

  >フォーラム検索へ


Copyright (c) 2020 Ping-t All rights reserved.