Was ist TACACS+?

TACACS+ (Terminal Access Controller Access-Control System Plus) ist ein von Cisco entwickeltes AAA-Protokoll, das Administratoren authentifiziert, ihre Befehle autorisiert und ihre Aktionen auf Netzwerkgeräten protokolliert. Es verschlüsselt den gesamten Paketinhalt über den TCP-Port 49 und behandelt – im Gegensatz zu seinen Vorgängern – Authentifizierung, Autorisierung und Abrechnung als drei völlig unabhängige Prozesse.

Die wichtigsten Erkenntnisse

• TACACS+ trennt Authentifizierung, Autorisierung und Abrechnung vollständig voneinander.
• Verschlüsselt im Gegensatz zu RADIUS den gesamten Paketinhalt über den TCP-Port 49.
• Wird hauptsächlich zur Verwaltung von Netzwerkgeräten verwendet, nicht zur Netzwerkzugangskontrolle.
• In RFC 8907 informativ dokumentiert, kein formeller IETF-Standard.
• Versa Director, Analytics und VMS unterstützen alle TACACS+ für die Administratoranmeldung.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · TACACS+ & Versa · Häufig gestellte Fragen

Warum ist TACACS+ wichtig?

Router, Switches, Firewalls und SD-WAN-Geräte benötigen alle eine Möglichkeit, zu steuern, wer sich anmelden darf und welche Aktionen nach der Anmeldung durchgeführt werden dürfen. TACACS+ verlagert diese Steuerung von einer Vielzahl verteilter lokaler Benutzertabellen auf einen zentralen Server, sodass der Zugriff eines Administrators einmalig gewährt, geändert oder widerrufen werden kann, anstatt dies auf jedem Gerät einzeln vornehmen zu müssen.

Was es auszeichnet, ist die Detailgenauigkeit. Da TACACS+ die Autorisierung als eigenen Schritt behandelt, kann eine Richtlinie einzelne Befehle autorisieren und nicht nur die Sitzung – einem Betreiber kann beispielsweise erlaubt werden, eine Konfiguration einzusehen, während ihm das Neuladen des Geräts oder das Ändern einer Schnittstelle untersagt ist. In Kombination mit einer vollständigen Sitzungsverschlüsselung und einer Protokollierung auf Befehlsebene macht dies TACACS+ zum Protokoll der Wahl, wann immer der administrative Zugriff auf die Infrastruktur einen detaillierten, überprüfbaren Nachverfolgungspfad erfordert. Aus diesem Grund bleibt es der Standard für die Geräteverwaltung, auch wenn RADIUS in Szenarien des Netzwerkzugriffs wie VPN und WLAN-Anmeldung dominiert.

Was ist TACACS+?

TACACS+ funktioniert als Client-Server-Austausch: Ein Netzwerkgerät (der Client) leitet einen Anmeldeversuch über eine einzelne TCP-Verbindung auf Port 49 an einen TACACS+-Server weiter. Die Verwendung von TCP anstelle des verbindungslosen UDP von RADIUS bietet integrierte Übertragungsgarantien, und TACACS+ verschlüsselt den gesamten Paketinhalt – nicht nur das Passwortfeld –, sodass Befehlsnamen, Argumente und Abrechnungsdatensätze während der Übertragung geschützt sind.

Der Server prüft die Anfrage anhand seiner eigenen Datenbank oder delegiert sie an einen Verzeichnisdienst und gibt eine Entscheidung zusammen mit den Autorisierungsattributen zurück, die mit der Rolle des Benutzers verknüpft sind. Da Authentifizierung, Autorisierung und Abrechnung getrennte Vorgänge sind, kann ein Gerät so konfiguriert werden, dass es einen Benutzer lokal authentifiziert, während Autorisierungs- und Abrechnungsanfragen weiterhin an einen entfernten TACACS+-Server gesendet werden – oder jede andere Kombination, die für die jeweilige Bereitstellung erforderlich ist.

Arten von TACACS+

TACACS+ besteht aus drei unabhängigen Prozessen. Bei der Authentifizierung wird die Identität des Benutzers anhand eines Benutzernamens, eines Passworts oder eines Zertifikats überprüft. Bei der Autorisierung wird festgelegt, welche Aktionen der Benutzer ausführen darf; dies wird pro Sitzung oder – was besonders wichtig ist – für jeden einzelnen Befehl vor dessen Ausführung geprüft. Bei der Protokollierung werden die tatsächlich stattgefundenen Vorgänge – Anmeldezeitpunkt, ausgeführte Befehle und Sitzungsdauer – für Prüfungszwecke aufgezeichnet.

Der Name spiegelt zudem eine Entwicklungsgeschichte wider. TACACS, definiert in RFC 1492, geht auf die 1980er Jahre und die an das ARPANET angeschlossenen Systeme zurück. Cisco erweiterte es Anfang der 1990er Jahre zu XTACACS und gestaltete es später in diesem Jahrzehnt von Grund auf neu als TACACS+ – eine so umfassende Protokolländerung, dass TACACS+ mit keinem seiner Vorgänger abwärtskompatibel ist. TACACS und XTACACS sind heute praktisch veraltet; wenn von „TACACS“ die Rede ist, ist fast immer TACACS+ gemeint.

TACACS+ & Versa

Versa „Director“, „ Versa “ Analytics und der „ Versa Messaging Service“ (VMS) lassen sich alle mit einem externen TACACS+-Server integrieren, um Administratoren zu authentifizieren. Im „Versa -Director“ ist TACACS+ neben Active Directory, LDAP und RADIUS als Authentifizierungskonnektor konfiguriert, mit redundant im Aktiv-Aktiv-Modus arbeitenden Servern, einer Auswahl zwischen der Reihenfolge „zuerst lokal, dann remote“ und „zuerst remote, dann lokal“ sowie – ab Release 22.1.4 – einem separaten Standard-Shell-Konnektor, sodass sich CLI-Anmeldungen bei einem anderen TACACS+-Server authentifizieren können als GUI- und API-Anmeldungen. TACACS+-Server können zudem Attribute für die Zwei-Faktor-Authentifizierung übertragen.

Bei „Versa Analytics“ authentifizieren bis zu vier TACACS+-Server pro Knoten den SSH-Zugriff auf die Shell des Knotens und beschränken jeden Benutzer auf die Rolle „admin“ (vollständige Shell- und Konfigurationsbearbeitung) oder „oper“ (schreibgeschützt, eingeschränkte Befehle) über ein „ versa-user-group“-Attribut, das auf dem TACACS+-Server selbst konfiguriert ist. VMS ist ab Release 5.2.2 in TACACS+ integriert, sodass ein externer Benutzer privilegierte Befehle im Namen des VMS-Administrators ausführen kann, wobei der Service-Wert des TACACS+-Servers auf „versa“ gesetzt ist und der Server über die Northbound-Schnittstelle von VMS erreichbar ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen TACACS+ und RADIUS?

TACACS+ verschlüsselt das gesamte Paket und trennt Authentifizierung, Autorisierung und Abrechnung in unabhängige Schritte auf, einschließlich der Autorisierung auf Befehlsebene – die übliche Wahl für die Verwaltung von Netzwerkgeräten. RADIUS verschlüsselt nur das Passwort und kombiniert Authentifizierung mit Autorisierung; es wird vor allem bei Netzwerkzugängen wie VPN und WLAN-Anmeldungen eingesetzt.

Welchen Port verwendet TACACS+?

TACACS+ nutzt den TCP-Port 49. Der TCP-Transport bietet verbindungsorientierte Übertragungsgarantien, über die RADIUS, das über UDP läuft, nicht verfügt, und überträgt den gesamten AAA-Austausch – Authentifizierung, Autorisierung und Abrechnung gleichermaßen – über diese einzige verschlüsselte Sitzung zwischen Client und Server.

Ist TACACS+ noch aktuell oder wurde es bereits abgelöst?

TACACS+ ist nach wie vor das Standardprotokoll für den administrativen Zugriff auf die Netzwerkinfrastruktur. Seine Vorgänger, TACACS und XTACACS, sind mittlerweile veraltet, doch TACACS+ selbst wird heute in Unternehmensnetzwerken aktiv genutzt und wurde 2020, Jahrzehnte nach seiner ursprünglichen Einführung durch Cisco, offiziell in RFC 8907 dokumentiert.

Was versteht man unter Befehlsautorisierung in TACACS+?

Bei der Befehlsautorisierung wird jeder einzelne Befehl, den ein Administrator erteilt, anhand einer Richtlinie auf dem TACACS+-Server überprüft, bevor das Gerät ihn ausführt – anstatt lediglich die gesamte Anmeldesitzung zu autorisieren. Auf diese Weise kann ein Bediener beispielsweise die Konfiguration einsehen, ohne dass er das Gerät neu starten darf.

Unterstützt „ Versa “ TACACS+ für den Administratorzugriff?

Ja. Der „ Versa “-Direktor, „ Versa Analytics“ und der „ Versa Messaging Service“ unterstützen alle TACACS+ als externen AAA-Server für die Administratoranmeldung, jeweils mit Rollenattributen – wie beispielsweise „ versa-user-group“ –, die einen authentifizierten TACACS+-Benutzer einer Berechtigungsstufe auf dieser Komponente zuordnen.

Mehr zu TACACS+

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über TACACS+ informieren, sollten Sie sich als Nächstes diese Artikel ansehen.