TACACS

TACACS + là giao thức cung cấp điều khiển truy cập cho các bộ định tuyến,

mạng truy cập vào máy chủ và các thiết bị máy tính khác nối mạng thông qua một

hoặc tập trung nhiều máy chủ. TACACS + cung cấp riêng biệt chứng thực, uỷ

quyền và các dịch vụ kế toán. 

TACACS cho phép một khách hàng chấp nhận một tên người dùng và mật khẩu

và gửi một truy vấn đến một máy chủ xác thực TACACS, đôi khi được gọi là một

TACACS daemon hoặc đơn giản chỉ TACACSD. Máy chủ đó,được dùng để chạy

chương trình trên host. Các máy chủ sẽ xác định xem liệu chấp nhận hoặc từ chối

yêu cầu và gửi một phản ứng trở lại. Các TIP sau đó sẽ cho phép truy cập hay

không, dựa trên phản ứng đó . Trong này cách, quá trình ra quyết định là "mở cửa"

và các thuật toán và dữ liệu sử dụng để đưa ra quyết định là dưới sự kiểm soát

hoàn toàn của bất cứ ai chạy TACACS daemon. Các phần mở rộng cho giao thức

cung cấp cho nhiều loại yêu cầu chứng thực và các loại mã nhiều phản ứng hơn là

trong bản gốc đặc điểm kỹ thuật. 

Có ba phiên bản của TACACS và phiên bản thứ ba được gọi là TACACS +, mà

không tương thích với các phiên bản trước.

TACACS + là một phương pháp trao đổi thông tin giữa một thiết bị cung cấp truy

cập mạng người sử dụng (các "TACACS + client") và một thiết bị có chứa thông

tin xác thực cho những người người sử dụng (các "TACACS + server"). TACACS

+ được dựa trên mô hình AAA: xác thực, uỷ quyền và kế toán. 

Các TACACS dựa trên môi trường truy cập từ xa có ba thành phần chính: Client

Access, Network Access Server, và TACACS Server +. 

Các Client Access có thể là một người quay số vào một mạng lưới cung cấp dịch

vụ kết nối với các trang web khác nhau trên internet (traditional User role). Ngoài

ra, các Client Access có thể là một thiết bị; nó có thể là một bộ định tuyến router

ISDN hoặc quay số theo yêu cầu để có thể kết nối nhiều người dùng tại một văn

phòng nhỏ / home office. 

Network Access Server (NAS) là một thiết bị có thể nhận ra và xử lý các yêu cầu

kết nối từ bên ngoài rìa "mạng". Khi NAS nhận được yêu cầu kết nối của người

dùng, nó có thể thực hiện một thương lượng truy cập ban đầu với người sử dụng

(PPP hoặc SLIP). Đàm phán này sẽ thành lập một số dữ liệu (tên người dùng, mật

khẩu, số port NAS, vv). Các sau đó NAS sẽ chuyển thông tin này dữ liệu đến máy

chủ xác thực TACACS + và yêu cầu chứng thực

Các TACACS + server sẽ xác thực các yêu cầu, và sẽ cho phép các dịch vụ

trên kết nối. Các TACACS + server thực hiện điều này bằng cách kết hợp dữ liệu

từ yêu cầu của NAS với mục trong một số well-known, cơ sở dữ liệu tin cậy. 

Các mô hình bảo mật AAA, khi mà giao thức TACACS + là cơ bản , một tình

trạng phân biệt chính xác giữa ba giai đoạn riêng biệt của một người dùng truy cập

mạng: Authentication, Authorization và Accounting. Việc kích hoạt của mỗi giai

đoạn có thể được cấu hình độc lập về NAS. Những gì mà NAS sẽ gửi đến máy chủ

TACACS + phụ thuộc vào cấu hình của NAS chính nó. 

TACACS + server có thể chấp nhận xác thực của người dùng hoặc ủy quyền hoặc

từ chối người dùng. Dựa trên phản hồi từ các máy chủ TACACS +, NAS sẽ quyết

định thành lập kết nối đên người dùng ("chấp nhận người sử dụng" hoặc "chấp

nhận các gói tin"), hoặc chấm dứt nỗ lực kết nối của người dùng ("từ chối người

dùng " hoặc "từ chối các gói tin"). Cuối cùng, NAS đưa dữ liệu accounting đến

máy chủ TACACS + vào document the transaction.Những hành vi này cùng với

các thành phần cơ bản mô tả ở trên cũng tương tự như khái niệm RADIUS 

TACACS + Các gói tin 

Một TACACS + client và TACACS + server giao tiếp bằng TACACS packets +

gửi qua TCP / IP mạng. TACACS + packets được định dạng bằng cách sử dụng

các công ước nêu trong The TACACS + Phiên bản giao thức 1,78. 

Để cấu hình Clear Box Server, các thông tin cần thiết cần thiết về gói TACACS +

là :

• Mang thông điệp giữa TACACS+ client và TACACS + server

• Tiếp theo thoả hiệp yêu cầu / đáp ứng : Khách hàng gửi một yêu cầu và

mong đợi một phản hồi từ máy chủ. Trong một số trường hợp, một "

TACACS session" có thể bao gồm một số  yêu cầu và trả lời khởi xướng

bởi một người dùng duy nhất.

• Mỗi gói hỗ trợ một mục đích cụ thể: authentication, authorization or

accounting.

• 1 gói accounting cùng với sự phân quyền có thể chứa các giá trị, được gọi

là "thuộc tính giá trị cặp ".

• Các thuộc tính cụ thể để được tìm thấy trong mỗi gói tin phụ thuộc vào

loại gói (authorization or accounting). 

TACACS + định nghĩa 7 loại gói dữ liệu (hoặc "thông điệp"):

• Authentication START (Nó mô tả các loại chứng thực được thực

hiện, và có thể có các tên người dùng và dữ liệu chứng thực số. Các gói

START là duy nhất gửi dưới dạng tin nhắn đầu tiên trong một phiên xác

thực TACACS +.).

• Authentication REPLY (Nó chỉ ra cho dù xác thực kết thúc, hoặc

cho dù nó nên tiếp tục. Nếu REPLY cho biết là xác thực nên tiếp tục, sau

đó nó sẽ cũng chỉ ra những thông tin mới được yêu cầu.).

• Authentication CONTINUE(Nó được gửi từ NAS đến máy chủ

sau khi nhận một gói REPLY và có thể chứa thông tin yêu cầu.).

• Authorization REQUEST (Nó chứa một tập cố định của các lĩnh

vực mô tả tính xác thực của người sử dụng hoặc process, và biến một tập

hợp các đối số đó mô tả các dịch vụ và  các tùy chọn mà sự ủy quyền được

yêu cầu.).

• Authorization RESPONSE (Nó chứa một biến thiết lập các luận

cứ phản ứng (thuộc tính- cặp giá trị) mà có thể hạn chế hoặc sửa đổi các

hành động của khách hàng.).

• Accounting REQUEST (Nó chuyển tải thông tin được sử dụng để cung

cấp dịch vụ Accounting cho người sử dụng.).

• Accounting REPLY (Nó được sử dụng để cho biết rằng chức năng

Accounting trên máy chủ có bảo mật hay không.)

TACACS + Secrets

Các TACACS + " shared secret" được sử dụng để mã hóa / giải mã gói TACACS

+ trong truyền thông giữa hai thiết bị. Bí mật được chia sẻ có thể là bất kỳ chuỗi

chữ và số. Mỗi shared secret phải được cấu hình trên cả máy khách và máy

chủ. Clear Box Server có thể được cấu hình để sử dụng một trong những mặc định

shared secret được sử dụng khi không có bí mật đặc biệt là các mặt hàng cho một

máy chủ cụ thể (thiết lập setting Default client secret key and thay đổi Require

client secret key ).

II. Mô hình demo

Máy pc 2 chạy cas 4.2 giao diện khởi động như sau:

b.Cấu hình trên TACACS+ Server:

Bước 1:Tạo groupỞ đây chúng ta sẽ tạo ra 2 nhóm. Nhóm một là Administrator có quyền privilege level 15và nhóm guestcó quyền privilege level 0.Vào menu Group Setup

Trong cửa sổ Group Setuptiếp theo ta làm lần lượt như sau;

Chọn TACACS+trong mục Jump to Check vào Shell (exec) Check vào Privilege Levelvà nhập vào thông số 15 Chọn Submit + Restart

Như vậy, những user nào thuộc group Adminstrator khi kết nối vào router thông qua TACACS+ server sẽ có bộ quyền ở mức 15.Việc cấu hình cho nhóm Guest ở Privỉlege Level 0 tương tự như vậy.

Bước 2: Tạo user và add user vào group

Chúng ta sẽ tạo user mang tên balcony thuộc group Aministrator và user mang tên Guest thuộc nhóm Guest

Vào menu User, nhập vào tên cisco, chọn Add/Edit

Trong màn hình User Setup tiếp theo ta cần nhập các thông số sau: Password authentication: ACS internet Database Password cho user cisco Chọn nhóm cho user này là Administrator.

Việc tạo và cấu hình cho user Guest và group Guest ta làm tương tự.

Bước 3: Cấu hình AAA server và Client:

Vào menu Network Configuration. Trước tiên ta cấu hình AAA client.Click vào Add Entry trong phần AAA Client

Trong cửa sổ tiếp theo ta cần nhập các thông số sau: AAA Client hostname: hostname của router (router) AAA IP address: địa chỉ của router 192.168.1.2 Key: khoá thương lượng giữa router và server ( ta chọn tuỳ ý và cần phải khớp

với giá trị sẽ nhập khi cấu hình router) Authentication Using: Tất nhiên là chọn TACACS+

Sau đó ta chọn Submit + Apply

tiếp theo sẽ cấu hình cho AAA Server:

Chọn Add Entrytrong phần AAA server:

Nhập vào các giá trị sau: AAA server name: đặt tùy ý AAA server IP: địa chỉ IP của máy cài TACACS+ Key: khoá giao trước ( trùng với khoá lúc nãy là 123456) AAA server type: Chọn TACACS+

Chọn vào Submit + Apply

2.Cấu hình trên router:

Sau đây là những lệnh cấu hình chính : Chú ý là những lệnh này dùng cho Cisco IOS 12.05 trở về sau

router(config)#aaa new-model router(config)#aaa authentication login default group tacacs+ router(config)#aaa authorization exec default group tacacs+router(config)#tacacs-server host 20.0.0.2//IP của TACACS+ serverrouter(config)#tacacs-server key 123456//key nhập ở trên

3.Kết quả show run của các router

Trên router R0

r0#sho runBuilding configuration...

Current configuration : 2647 bytes

!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname r0!boot-start-markerboot-end-marker!!no aaa new-model!resource policy!memory-size iomem 5!!ip cefno ip domain lookup!!!!!crypto pki trustpoint TP-self-signed-0 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-0 revocation-check none rsakeypair TP-self-signed-0!!crypto pki certificate chain TP-self-signed-0 certificate self-signed 01 3082022D 30820196 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 28312630 24060355 0403131D 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 30301E17 0D303230 33303130 30323035 315A170D 32303031 30313030 30303030 5A302831 26302406 03550403 131D494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3030 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 9B73C6A4 1411E43C 99D317DB A81CBAC9 15AF4F87 79E63D84 10D278FF E981C889 27C7FFE1 8976E54F 92A6E263 9DA630DA 11308FA4 94357FE3 7A5A7EDD E8E133C8 6E2B7EFE 2D9086FF 6C0B34C3 25BB48D0 62E3DC8C 39A5E997 D3492978 DC953389 984D7617 56B7A2C8 F12F88AF B8824C9E 3BECB354 65D7CA4F A825B82B 538FC9FF 02030100 01A36730 65300F06 03551D13 0101FF04 05300301 01FF3012 0603551D 11040B30 09820752 6F757465 722E301F 0603551D 23041830 168014FE 02605F6F E7FCDCF6 F4846E26 1078110C A9893530 1D060355 1D0E0416 0414FE02 605F6FE7 FCDCF6F4 846E2610 78110CA9 8935300D 06092A86 4886F70D 01010405 00038181 0028F314 56D354C8 770A8806 B61FF97B 76D088BD 6DFACFB1 6C677F9B 5B8D4213 2E3225C2 71B8ABF9 3EE87B3B A4EB8FEF 2B0EB139 5167D3B3 5C8CE5B3 1E9BC13F CFA59E6C 6A2C6A42 84C9D681 BBB2C372 DD1A18BE 984CFBE7 E7936FD1 F434E490 534C031F D0B8EFE7 B92A8FC1 8A46C9D4 16387070 569E09D9 B5D1066E 478DC8D9 18 quit!!

!interface FastEthernet0/0 ip address 10.0.0.1 255.255.255.0 duplex auto speed auto!interface Serial1/0 ip address 172.16.1.1 255.255.255.0 serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/1 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/2 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/3 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!router rip network 10.0.0.0 network 172.16.0.0!ip http serverip http authentication localip http secure-server!!!control-plane!!!line con 0line aux 0line vty 0 4 privilege level 15 login local transport input telnet ssh!!end

r0#

Tren router r1

r1#sho runBuilding configuration...

Current configuration : 2922 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname r1!boot-start-markerboot-end-marker!!aaa new-model!!aaa authentication login default group tacacs+ noneaaa authentication login telnet_lines group tacacs+aaa authorization exec default group tacacs+!aaa session-id common!resource policy!memory-size iomem 5!!ip cefno ip domain lookup!!!!!crypto pki trustpoint TP-self-signed-0 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-0 revocation-check none rsakeypair TP-self-signed-0!!crypto pki certificate chain TP-self-signed-0 certificate self-signed 01 3082022D 30820196 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 28312630 24060355 0403131D 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 30301E17 0D303230 33303130 30323333 345A170D 32303031 30313030 30303030 5A302831 26302406 03550403 131D494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3030 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 BBF4F42A 21F79213 392052A3 3F1F9101 2669763D C5586A14 F67411DF 4FAE17BC C31EC017 6EABAE02 29E54888 2DEA8788 08556592 2252C2DE 0B149491 ABA7E5AB 97B54024 5EC7EB4B 90FABDB5 A4E65367 75CB3A88 075BDF60 6228F1A6 711E7F51 A209147E 89D44E04 335B17A7 4A5D5F99 DD55EF47 2E444812 27E2BFAD 385A653D 02030100 01A36730 65300F06 03551D13

0101FF04 05300301 01FF3012 0603551D 11040B30 09820752 6F757465 722E301F 0603551D 23041830 168014FD 0A7BBA83 55C45E3E 77563771 C595465B D4F66130 1D060355 1D0E0416 0414FD0A 7BBA8355 C45E3E77 563771C5 95465BD4 F661300D 06092A86 4886F70D 01010405 00038181 00B94FBA 42754584 67BDDE31 E87615D9 A8D58F30 D52DC630 6994C0B5 D8473E9A 37D6F232 E4624BD3 675191CE 438D3B62 4D860692 277BE8AB 4DF862CD B6E379A5 A14B65EF 26FFF925 82E1F8A0 E648B421 BBA4ACC0 B93005A6 F78BF0F2 351A06BD E4DF959A 3CB3FAD1 ABEB1E4D 7675C140 480D5FFC D91733C9 F40F582E 84A9EE86 D9 quit

!!username aloblack privilege 15 secret 5 $1$i/fL$Ks8PRsh46nqc3ptqLFmfb0username cisco privilege 15 password 0 cisco!!!!!!interface Serial0/0 ip address 172.16.1.2 255.255.255.0 serial restart-delay 0 no dce-terminal-timing-enable!interface Serial0/1 ip address 192.168.1.2 255.255.255.0 serial restart-delay 0 no dce-terminal-timing-enable!interface Serial0/2 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!interface Serial0/3 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!router rip network 172.16.0.0 network 192.168.1.0!ip http serverip http authentication localip http secure-server!!!!!tacacs-server host 20.0.0.2 key ciscotacacs-server directed-request

!control-plane!

!!line con 0line aux 0line vty 0 4 privilege level 15 transport input telnet ssh!!end

r1#

Trên router r3Router#sho runBuilding configuration...

Current configuration : 986 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname Router!boot-start-markerboot-end-marker!!no aaa new-model!resource policy!memory-size iomem 5!!ip cef!interface FastEthernet0/0 ip address 20.0.0.1 255.255.255.0 duplex auto speed auto!interface Serial1/0 ip address 192.168.1.1 255.255.255.0 serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/1 no ip address

shutdown serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/2 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!interface Serial1/3 no ip address shutdown serial restart-delay 0 no dce-terminal-timing-enable!router rip network 20.0.0.0 network 192.168.1.0!ip http serverno ip http secure-server

!control-plane!!!line con 0line aux 0line vty 0 4!!end

Router#

Kiểm traSau khi cấu hình song ta kiểm tra bằng cách telnet

HÌnh chụp bằng wireshare bắt gói tacacs+