¿Qué es TACACS+?

TACACS+ (Terminal Access Controller Access-Control System Plus) es un protocolo AAA desarrollado por Cisco que autentica a los administradores, autoriza sus comandos y registra sus acciones en los dispositivos de red. Cifra el cuerpo completo del paquete a través del puerto TCP 49 y, a diferencia de sus predecesores, trata la autenticación, la autorización y la contabilidad como tres procesos totalmente independientes.

Puntos clave

• TACACS+ separa por completo la autenticación, la autorización y la contabilidad.
• Cifra todo el cuerpo del paquete a través del puerto TCP 49, a diferencia de RADIUS.
• Se utiliza principalmente para la administración de dispositivos de red, no para el control de acceso a la red.
• Documentado a título informativo en el RFC 8907; no es una norma formal de la IETF.
• Versa Director, Analytics y VMS admiten TACACS+ para el inicio de sesión de administrador.

En esta página: Por qué es importante · Cómo funciona · Tipos · TACACS+ y Versa · Preguntas frecuentes

¿Por qué es importante TACACS+?

Los routers, los conmutadores, los cortafuegos y los dispositivos SD-WAN necesitan una forma de controlar quién puede iniciar sesión y qué acciones puede realizar una vez que ha accedido. TACACS+ externaliza ese control, trasladándolo de un conjunto disperso de tablas de usuarios locales a un servidor centralizado, de modo que el acceso de un administrador se puede conceder, modificar o revocar una sola vez, en lugar de tener que hacerlo en cada dispositivo por separado.

Lo que lo distingue es su nivel de detalle. Dado que TACACS+ trata la autorización como un paso independiente, una política puede autorizar comandos individuales en lugar de limitarse únicamente a la sesión: se puede permitir a un operador ver una configuración, al tiempo que se le impide reiniciar el dispositivo o modificar una interfaz. Esto, combinado con el cifrado de toda la sesión y la contabilización por comando, convierte a TACACS+ en el protocolo preferido siempre que el acceso administrativo a la infraestructura requiera un registro detallado y auditable, razón por la cual sigue siendo el protocolo predeterminado para la administración de dispositivos, incluso aunque RADIUS domine los escenarios de acceso a la red, como las VPN y el inicio de sesión en redes Wi-Fi.

¿Qué es TACACS+?

TACACS+ funciona como un intercambio cliente-servidor: un dispositivo de red (el cliente) reenvía un intento de inicio de sesión a un servidor TACACS+ a través de una única conexión TCP en el puerto 49. El uso de TCP en lugar del protocolo UDP sin conexión de RADIUS proporciona al intercambio garantías de entrega integradas, y TACACS+ cifra todo el cuerpo del paquete —no solo el campo de la contraseña—, por lo que los nombres de los comandos, los argumentos y los registros de contabilidad quedan protegidos durante la transmisión.

El servidor evalúa la solicitud en su propia base de datos, o la delega a un servicio de directorio, y devuelve una decisión junto con los atributos de autorización vinculados al rol del usuario. Dado que la autenticación, la autorización y la contabilidad son intercambios independientes, es posible configurar un dispositivo para que autentique a un usuario de forma local y, al mismo tiempo, envíe las solicitudes de autorización y contabilidad a un servidor TACACS+ remoto, o cualquier otra combinación que requiera la implementación.

Tipos de TACACS+

TACACS+ se compone de tres procesos independientes. La autenticación verifica la identidad del usuario mediante un nombre de usuario, una contraseña o un certificado. La autorización determina qué puede hacer ese usuario, lo cual se evalúa por sesión o, de forma específica, por cada comando individual antes de su ejecución. La contabilidad registra lo que realmente ha ocurrido —la hora de inicio de sesión, los comandos ejecutados y la duración de la sesión— con fines de auditoría.

El nombre también refleja su origen. TACACS, definido en el RFC 1492, se remonta a los sistemas conectados a ARPANET de la década de 1980. Cisco lo amplió a XTACACS a principios de la década de los noventa y, más tarde, en esa misma década, lo rediseñó desde cero como TACACS+, un cambio de protocolo tan radical que TACACS+ no es compatible con ninguno de sus predecesores. Hoy en día, TACACS y XTACACS están prácticamente en desuso; cuando se habla de «TACACS», casi siempre se hace referencia a TACACS+.

TACACS+ y Versa

Versa Director, Versa Analytics y Versa Messaging Service (VMS) se integran con un servidor TACACS+ externo para autenticar a los administradores. En el Director deVersa , TACACS+ se configura como un conector de autenticación junto con Active Directory, LDAP y RADIUS, con servidores redundantes que funcionan en modo activo-activo, la posibilidad de elegir entre el orden «local primero, luego remoto» y «remoto primero, luego local» y, a partir de la versión 22.1.4, un conector de shell predeterminado independiente para que los inicios de sesión mediante la CLI puedan autenticarse en un servidor TACACS+ distinto al de los inicios de sesión mediante la GUI y la API. Los servidores TACACS+ también pueden incluir atributos de autenticación de dos factores.

En Versa Analytics, hasta cuatro servidores TACACS+ por nodo autentican el acceso SSH al shell del nodo, restringiendo a cada usuario al rol «admin» (shell completo y edición de la configuración) o «oper» (solo lectura, comandos restringidos) mediante un atributo « versa-user-group» configurado en el propio servidor TACACS+. VMS, a partir de la versión 5.2.2, se integra con TACACS+ para que un usuario externo pueda ejecutar comandos con privilegios en nombre del administrador de VMS, con el valor del servicio del servidor TACACS+ establecido en «versa» y accesible a través de la interfaz northbound de VMS.

Preguntas frecuentes

¿Cuál es la diferencia entre TACACS+ y RADIUS?

TACACS+ cifra el paquete completo y separa la autenticación, la autorización y la contabilidad en pasos independientes, incluida la autorización por comando, que suele ser la opción habitual para la administración de dispositivos de red. RADIUS solo cifra la contraseña y combina la autenticación con la autorización, y es la opción predominante en casos de acceso a la red, como el inicio de sesión en VPN y Wi-Fi.

¿Qué puerto utiliza TACACS+?

TACACS+ utiliza el puerto TCP 49. El protocolo de transporte TCP le proporciona garantías de entrega orientadas a la conexión de las que carece RADIUS —que funciona sobre UDP— y transmite todo el intercambio AAA —autenticación, autorización y contabilidad por igual— a través de esa única sesión cifrada entre el cliente y el servidor.

¿Sigue siendo relevante TACACS+, o ha sido sustituido?

TACACS+ sigue siendo el protocolo estándar para el acceso administrativo a la infraestructura de red. Sus predecesores, TACACS y XTACACS, han quedado obsoletos, pero el propio TACACS+ se utiliza activamente hoy en día en las redes empresariales y quedó documentado oficialmente en el RFC 8907 en 2020, décadas después de que Cisco lo presentara por primera vez.

¿Qué es la autorización de comandos en TACACS+?

La autorización de comandos comprueba cada comando individual que emite un administrador comparándolo con una política del servidor TACACS+ antes de que el dispositivo lo ejecute, en lugar de autorizar únicamente la sesión de inicio de sesión en su conjunto. Esto permite, por ejemplo, que un operador pueda ver la configuración sin que se le permita reiniciar el dispositivo.

¿Admite « Versa » el protocolo TACACS+ para el acceso de administradores?

Sí. Tanto el director de Versa , Versa Analytics como el servicio de mensajería Versa admiten TACACS+ como servidor AAA externo para el inicio de sesión del administrador, cada uno con atributos de rol —como versa-user-group— que asocian a un usuario TACACS+ autenticado con un nivel de permiso en ese componente.

Más información sobre TACACS+

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre TACACS+, te conviene echar un vistazo a lo siguiente.