[Lesson Learned] IOS and ISE TACACS Privilege

Langkah troubleshooting terkait TACACS+ di Cisco ISE dan Cisco IOS

Problem:

1. Switch dan router tetap memerlukan enable password setelah berhasil login dengan AD account. Walaupun pada TACACS Profile sudah dibuat profile admin dengan default privilege = 15 dan max privilege = 15.
2. Pada command set sudah dibuat permit all command untuk admin.
3. Pada Device admin policy set sudah dibuat rule PermitAll dan shell profile menggunakan profile admin.
4. ​Pada TACACS Livelog, kolom shell profile juga kosong.

Problem Verification:

1. Semua config di ISE dan switch sudah lengkap sesuai dokumentasi Cisco  tentang TACACS+ pada ISE dan Catalyst IOS
2. Bisa login ke dalam switch menggunakan account AD level admin
3. Setelah login tetap harus masukkan password untuk masuk ke mode privilege

Additional Information

Problem reproducible, mengikuti acuan dokumentasi di Cisco untuk ISE dan Catalyst

Troubleshooting Process

1. Hubungi Cisco TAC, dan set troubleshooting session
2. Mengecek config di switch
3. Mengecek config AAA dan TACACS server, ada command di section aaa authentication dan aaa authorization yang kurang
4. Mengecek method list untuk authentication dan authorization, privilege level di line vty belum diconfig
5. Setelah menambahkan privilege level 15, bisa masuk ke switch dan langsung ke privilege mode

Detailed Solution

1. Mengecek config AAA dan TACACS server, ada command yang kurang:
   
   1 2	aaa authentication enable default enable aaa authorization exec ip-ise if-authenticated.

2. Mengecek method list untuk authentication dan authorization, privilege level di line vty belum diconfig. Ada line vty 0 4 dan line vty 5 15. Dibawah line vty 0 4 perlu ditambahkan privilege level 15.
   
   1 2	line vty 0 4 privilege level 15