TACACS+（终端访问控制系统)

TACACS+(Terminal Access Controller Access-Control System Plus)是一种用于网络设备管理访问的 AAA 协议,提供认证、授权和记账三项功能,主要用于集中管理谁能登录路由器、交换机等设备以及能执行哪些命令。

概述

TACACS+ 由思科在早期 TACACS 基础上重新设计,虽同为 AAA 协议,但与 RADIUS 有明显定位差异。RADIUS 更偏向终端用户接入认证,而 TACACS+ 更擅长网络设备的管理权限控制,能精细到命令级授权,因此在企业和运营商的设备运维中被广泛采用。

核心特点

• 三功能分离:认证、授权、记账被拆成独立的请求流程,可灵活组合,例如认证走本地而授权走服务器。
• 命令级授权:能对管理员输入的每条命令进行授权判断,精细控制运维人员的操作范围。
• 整包加密:对报文主体整体加密,而不像 RADIUS 只加密口令字段,安全性更高。
• 基于 TCP:使用 TCP 传输,连接状态明确,便于可靠交互和故障感知。

应用场景

TACACS+ 主要用于网络设备的登录认证和运维审计。管理员登录设备时由 TACACS+ 服务器统一认证,授权决定其可执行的命令,记账记录其操作日志,便于事后审计和责任追溯,是网络工程团队集中管理设备权限的常用手段。

常见问题

问:TACACS+ 和 RADIUS 该怎么选?答:管理网络设备的运维权限、需要命令级授权和整包加密时优先选 TACACS+;而拨号、无线、有线终端用户的接入认证则更常用 RADIUS,二者也常在同一网络中分工共存。

问:TACACS+ 用 TCP 还是 UDP?答:TACACS+ 使用 TCP 传输,连接可靠且状态清晰,这与使用 UDP 的 RADIUS 不同。