TACACS+

このページで学ぶこと

• TACACS Transport Port
• TACACS Named Server Definition
• TACACS Shared Secret
• TACACS Builtin Group Method
• TACACS Named Server Group
• TACACS Named Group Method Reference
• TACACS AAA Separation
• TACACS Packet Protection
• TACACS Server Status Verification
• TACACS Authentication Test
• TACACS Fail Versus Error
• TACACS Management AAA Fit

TACACS+の位置付け

TACACS+はNetwork Device Managementでよく使われるAAA Protocolです。TCP 49を使用し、Authentication・Authorization・Accountingを分離して扱いやすい特性があります。

Named TACACS+ Server

tacacs server TAC1
 address ipv4 192.0.2.10
 key <shared-secret>

keyはDeviceとTACACS+ Serverの間で共有するSecretであり、管理UserのPasswordとは別物です。

Server Group

aaa group server tacacs+ ADMIN-TAC
 server name TAC1

Named Groupを作った場合はMethod Listでgroup ADMIN-TACのように参照できます。

Authentication Method

aaa authentication login default group tacacs+ local

Built-in TACACS+ Groupを使う例です。Remote MethodがERRORならLocalへ進めますが、ServerがCredentialをRejectしたFAILではLocalへ進みません。

Verification

show running-config
show aaa servers
test aaa group <group-name> <username> <password> ...

show aaa serversでServer状態を確認し、必要に応じてAuthentication Testと実際のManagement Loginを行います。

TACACS+の保護範囲

TACACS+はHeaderを除くPacket Bodyを暗号化します。「Packet全体が完全暗号化される」とは表現しません。

まとめ

IOS XEをTACACS+ ClientとしてManagement Authenticationへ組み込み、Named Server・Shared Secret・Server Group・Method List・Verificationを読み書きできるようにする。