Wie lässt sich auf einem Cisco Switch der Verbindungsaufbau zu einem AAA-Server auslösen?

**Auf einem Cisco-Switch löst du den Verbindungsaufbau zu einem AAA-Server in der Praxis am direktesten mit einem echten AAA-Test aus – typischerweise per `test aaa group ...` bei RADIUS.** Cisco dokumentiert diesen Befehl ausdrücklich zum manuellen Testen der Server-Erreichbarkeit bzw. des Server-Status. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/s1/sec-s1-cr-book/sec-cr-t1.html)) ## Der entscheidende Punkt Ein AAA-Server wird normalerweise **nicht einfach „dauerhaft verbunden“** wie eine normale Session, sondern der Switch kontaktiert ihn **ereignisbezogen**, also wenn eine Authentifizierung, Autorisierung oder ein Accounting-Vorgang ausgelöst wird. Das heißt konkret: Der Verbindungsaufbau passiert typischerweise erst bei: - Login über VTY/SSH mit AAA - 802.1X/MAB an einem Port - `test aaa ...` - Accounting-Events wie Login/Logout ## Praktisch auslösen Für **RADIUS** ist der übliche Testbefehl auf IOS/IOS XE: ```bash test aaa group radius <username> <password> new-code ``` Oder mit einer **konfigurierten Servergruppe**: ```bash test aaa group <gruppenname> <username> <password> new-code ``` Cisco beschreibt `test aaa group` als manuellen Test für RADIUS bzw. zur Prüfung des Server-Status. Wichtig: **Dieser Befehl gilt nicht für TACACS+ in derselben Weise.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/s1/sec-s1-cr-book/sec-cr-t1.html)) ## Was viele verwechseln Der Befehl baut **keine permanente Management-Session** zum AAA-Server auf, sondern erzeugt einen **gezielten AAA-Request**. Genau dadurch wird die Kommunikation zum Server ausgelöst. Der praktische Unterschied ist wichtig: - **Ping erfolgreich** = nur IP-Erreichbarkeit - **`test aaa ...` erfolgreich** = AAA selbst funktioniert wirklich, also Shared Secret, Ports, Antwortverhalten und Authentifizierungslogik sind grundsätzlich korrekt ## Wenn TACACS+ gemeint ist Die Annahme „einfach per `test aaa group`“ ist dann oft falsch. Laut Cisco bezieht sich dieser dokumentierte Testmechanismus hier auf **RADIUS**, nicht allgemein auf jeden AAA-Typ. Bei **TACACS+** wird der Verbindungsaufbau meist indirekt durch einen echten AAA-Vorgang ausgelöst, etwa einen SSH-Login gegen die konfigurierte AAA-Method-List. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios/sec_user_services/configuration/guide/12_4/sec_securing_user_services_12-4_book/sec_enhanced_tst_cmd.html)) ## Praxis-Tipp Wenn du nur prüfen willst, **ob der Switch den AAA-Server wirklich anspricht**, ist ein echter AAA-Test deutlich aussagekräftiger als `ping`. Ergänzend hilft auf dem Switch oft Debugging wie `debug aaa authentication` oder bei RADIUS-spezifischen Tests `debug aaa test`, weil Cisco genau dafür Testpakete und Serverstatus erwähnt. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/debug/command/a1/db-a1-cr-book/db-a1.html))