Qu'est-ce que TACACS+ ?

TACACS+ (Terminal Access Controller Access-Control System Plus) est un protocole AAA développé par Cisco qui authentifie les administrateurs, autorise leurs commandes et consigne leurs actions sur les périphériques réseau. Il chiffre l'intégralité du corps du paquet sur le port TCP 49 et, contrairement à ses prédécesseurs, traite l'authentification, l'autorisation et la comptabilité comme trois processus totalement indépendants.

Points clés à retenir

• TACACS+ sépare totalement l'authentification, l'autorisation et la comptabilité.
• Contrairement à RADIUS, il chiffre l'intégralité du corps du paquet via le port TCP 49.
• Utilisé principalement pour l'administration des périphériques réseau, et non pour le contrôle d'accès au réseau.
• Documenté à titre informatif dans la RFC 8907 ; il ne s'agit pas d'une norme officielle de l'IETF.
• Versa Director, Analytics et VMS prennent tous en charge le protocole TACACS+ pour la connexion des administrateurs.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · TACACS+ et Versa · FAQ

Pourquoi le protocole TACACS+ est-il important ?

Les routeurs, commutateurs, pare-feu et appareils SD-WAN doivent tous disposer d’un moyen de contrôler qui peut se connecter et ce que ces utilisateurs peuvent faire une fois connectés. Le protocole TACACS+ externalise ce contrôle, le faisant passer d’un ensemble dispersé de tables d’utilisateurs locales vers un serveur centralisé. Ainsi, l’accès d’un administrateur peut être accordé, modifié ou révoqué en une seule fois, plutôt que sur chaque appareil individuellement.

Ce qui le distingue, c'est sa granularité. Comme TACACS+ traite l'autorisation comme une étape à part entière, une politique peut autoriser des commandes individuelles plutôt que la session dans son ensemble : un opérateur peut ainsi être autorisé à consulter une configuration tout en se voyant interdire de recharger le périphérique ou de modifier une interface. Combiné au chiffrement de l’intégralité de la session et à la comptabilisation commande par commande, cela fait de TACACS+ le protocole de choix partout où l’accès administratif à l’infrastructure nécessite une piste d’audit détaillée et vérifiable. C’est pourquoi il reste le protocole par défaut pour l’administration des appareils, même si RADIUS domine les scénarios d’accès au réseau tels que les connexions VPN et Wi-Fi.

Qu'est-ce que TACACS+ ?

TACACS+ fonctionne selon un modèle client-serveur : un périphérique réseau (le client) transmet une tentative de connexion à un serveur TACACS+ via une connexion TCP unique sur le port 49. L'utilisation du protocole TCP, plutôt que du protocole UDP sans connexion utilisé par RADIUS, offre des garanties de livraison intégrées à l'échange. De plus, TACACS+ chiffre l'intégralité du corps du paquet – et pas seulement le champ du mot de passe – de sorte que les noms de commandes, les arguments et les enregistrements de comptabilité sont tous protégés pendant le transfert.

Le serveur évalue la requête par rapport à sa propre base de données, ou délègue cette tâche à un service d'annuaire, puis renvoie une décision accompagnée des attributs d'autorisation liés au rôle de l'utilisateur. L'authentification, l'autorisation et la comptabilité étant des échanges distincts, un appareil peut être configuré pour authentifier un utilisateur en local tout en continuant à envoyer les requêtes d'autorisation et de comptabilité à un serveur TACACS+ distant – ou selon toute autre combinaison requise par le déploiement.

Types de TACACS+

TACACS+ repose sur trois processus indépendants. L'authentification permet de vérifier l'identité de l'utilisateur à l'aide d'un nom d'utilisateur, d'un mot de passe ou d'un certificat. L'autorisation détermine les actions que cet utilisateur est autorisé à effectuer ; elle est évaluée par session ou, de manière spécifique, pour chaque commande avant son exécution. La comptabilité consigne les événements réels (heure de connexion, commandes exécutées et durée de la session) à des fins d'audit.

Ce nom fait également écho à une histoire. Le protocole TACACS, défini dans la RFC 1492, remonte aux systèmes connectés à l'ARPANET des années 1980. Cisco l’a étendu pour en faire XTACACS au début des années 1990, puis l’a entièrement repensé pour créer TACACS+ plus tard dans la même décennie – une refonte si complète que TACACS+ n’est compatible en amont avec aucun de ses prédécesseurs. TACACS et XTACACS sont aujourd’hui pratiquement obsolètes ; lorsque l’on parle de « TACACS », on fait presque toujours référence à TACACS+.

TACACS+ & Versa

Versa Director, Versa Analytics et Versa Messaging Service (VMS) s'intègrent tous à un serveur TACACS+ externe pour authentifier les administrateurs. Sur le gestionnaire d’Versa , TACACS+ est configuré comme un connecteur d’authentification aux côtés d’Active Directory, de LDAP et de RADIUS, avec des serveurs redondants fonctionnant en mode actif-actif, un choix entre l’ordre « local puis distant » et « distant puis local », et – à partir de la version 22.1.4 – un connecteur de shell par défaut distinct afin que les connexions via l’interface en ligne de commande (CLI) puissent s’authentifier auprès d’un serveur TACACS+ différent de celui utilisé pour les connexions via l’interface graphique (GUI) et l’API. Les serveurs TACACS+ peuvent également prendre en charge les attributs d’authentification à deux facteurs.

Dans Versa Analytics, jusqu’à quatre serveurs TACACS+ par nœud authentifient l’accès SSH au shell du nœud, en limitant chaque utilisateur au rôle « admin » (shell complet et modification de la configuration) ou « oper » (lecture seule, commandes restreintes) via un attribut « versa-user-group » configuré sur le serveur TACACS+ lui-même. À partir de la version 5.2.2, VMS s’intègre à TACACS+ afin qu’un utilisateur externe puisse exécuter des commandes privilégiées au nom de l’administrateur VMS, la valeur du service du serveur TACACS+ étant définie sur «versa» et accessible via l’interface northbound de VMS.

Questions fréquentes

Quelle est la différence entre TACACS+ et RADIUS ?

TACACS+ crypte l'intégralité du paquet et sépare l'authentification, l'autorisation et la comptabilité en étapes distinctes, y compris l'autorisation commande par commande – ce qui constitue le choix habituel pour l'administration des périphériques réseau. RADIUS ne crypte que le mot de passe et combine l'authentification et l'autorisation ; il est largement utilisé dans les cas d'accès au réseau tels que les connexions VPN et Wi-Fi.

Quel port TACACS+ utilise-t-il ?

TACACS+ utilise le port TCP 49. Le protocole de transport TCP lui offre des garanties de transmission orientées connexion dont ne dispose pas RADIUS, qui fonctionne sur UDP, et il achemine l'intégralité des échanges AAA – authentification, autorisation et comptabilité – via cette session cryptée unique entre le client et le serveur.

Le protocole TACACS+ est-il toujours d'actualité, ou a-t-il été remplacé ?

TACACS+ reste le protocole standard pour l'accès administratif à l'infrastructure réseau. Ses prédécesseurs, TACACS et XTACACS, sont désormais obsolètes, mais TACACS+ est aujourd'hui largement utilisé dans les réseaux d'entreprise et a fait l'objet d'une documentation officielle dans la RFC 8907 en 2020, plusieurs décennies après son lancement initial par Cisco.

Qu'est-ce que l'autorisation des commandes dans TACACS+ ?

L'autorisation des commandes consiste à vérifier chaque commande émise par un administrateur par rapport à une politique définie sur le serveur TACACS+ avant que le dispositif ne l'exécute, plutôt que de n'autoriser que la session de connexion dans son ensemble. Cela permet, par exemple, à un opérateur de consulter la configuration sans être autorisé à redémarrer le dispositif.

Versa prend-il en charge le protocole TACACS+ pour l'accès administrateur ?

Oui. Le gestionnaire de services ( Versa ), le gestionnaire d’analyses ( Versa Analytics) et le service de messagerie ( Versa Messaging Service) prennent tous en charge le protocole TACACS+ en tant que serveur AAA externe pour la connexion des administrateurs. Chacun d’entre eux dispose d’attributs de rôle – tels que « versa-user-group » – qui associent un utilisateur TACACS+ authentifié à un niveau d’autorisation sur ce composant.

En savoir plus sur TACACS+

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à TACACS+, voici quelques liens qui pourraient vous intéresser.