TACACS+ unter Linux mit Windows-Domänenberechtigung (TACACS+ с аутентификацией в домене AD)

Als Betriebssystemeist ist Ubuntu 20 benutzt.
Als free-TACACS+ ist das Projekt https://www.pro-bono-publico.de/projects/tac_plus.html benutzt.

Installierung des TACACS+ Servers

Логирование в Cisco

Устройства Cisco позволяют писать подробные "лог" журналы, позволяющие анализировать состояние устройств, выявлять проблемы и разбирать сетевые инциденты. Глубина логирования это как всегда компромисс между сбором максимально возможной информации и возможностью проанализировать этот объем. Анализ логов необходимо производить регулярно, а при большом количестве устройств имеет смысл установки в сети единого сервера логирования и, возможно, автоматизировать процесс анализа критичных событий.

Команды TACACS+ на Cisco

Здесь собраны команды которые применяются у меня на устройствах, с кратким пояснением.

aaa authentication login default group TAC_PLUS local - эта команда говорит, что аутентификацию производится на сервере (серверах) группы TAC_PLUS, если серверы аутентификации не доступны, искать пользователя в локальной базе

aaa authorization exec default group TAC_PLUS local - без этой команды необходимо будет набирать локальный пароль для входа в enable.

Установка и настройка TACACS+

Встал вопрос о единой точке авторизации, аутентификации и аккаутинга. А также разграничения прав доступа к устройствам между администраторами филиала и головного предприятия. Причем местным администраторам необходимо было давать специфический доступ. Например, разрешено все, кроме редактирования настроек BGP маршрутизации. Или разрешен просмотр всего, а редактировать можно только один access-list. В настоящий момент с такими задачами может справится только TACACS.

Настройка TACACS+ на Cisco (Routers, Switches)

Настройка на моих устройствах, публикую чтобы не забыть.

На старых IOS

aaa new-model
!
aaa group server tacacs+ TAC_PLUS
  server 10.10.10.11
!

Настройка TACACS+ на Cisco ASA

Публикую чтобы не забыть.

aaa-server TAC_PLUS protocol tacacs+aaa-server TAC_PLUS max-failed-attempts 2aaa-server TAC_PLUS (SWS1_ASA2) host 10.10.10.11key GROSSEPAROLE

no aaa authentication ssh console LOCAL  !!! Удалить эту команду иначе следующая не применится
aaa authentication ssh console TAC_PLUS LOCAL
aaa authentication enable console TAC_PLUS LOCAL !Для входа в en использовать пароль пользователя
aaa authorization command TAC_PLUS LOCAL !