Implantação de TACACS: guia prático para provedores
Implantação de TACACS+: é centralizar o login de roteadores, switches e OLTs num servidor, com usuário próprio para cada pessoa da equipe. O mesmo servidor decide quais comandos cada um pode rodar e guarda tudo o que foi digitado, com usuário e horário.
Resumo
- A senha única da equipe sai de cena, e cortar o acesso de quem saiu passa a ser uma mudança num lugar só.
- O TACACS+ separa autenticação, autorização e registro, e consegue liberar ou negar comando por comando.
- Dois servidores na rede de gerência e um usuário local guardado em cofre evitam trancar a equipe fora.
- O registro de comandos responde quem mudou o quê, e a cópia dele fica fora do próprio servidor.
Por que sair da senha compartilhada?
Porque a senha compartilhada não diz quem fez cada mudança e não pode ser cortada de uma pessoa só. Quando alguém sai do provedor, a senha sai junto e continua valendo em todos os equipamentos.
Senha igual para toda a equipe em todos os equipamentos é comum em provedor pequeno. Quando alguém sai, a senha fica com ele, e ninguém sabe quem fez cada mudança.
Com TACACS+, cada pessoa entra com o próprio usuário e o acesso pode ser cortado num lugar só. É parte do desenho de rede de gerência para provedores, junto com a entrada única por VPN e a separação entre o tráfego dos assinantes e o tráfego administrativo.
| Função | O que faz |
|---|---|
| Autenticação | Confere quem está entrando |
| Autorização | Define o que cada um pode fazer |
| Registro | Guarda os comandos executados, com usuário e horário |
O que o login individual responde e a senha única não
Numa queda causada por mudança de configuração, a primeira pergunta é quem mexeu e em quê. Com senha compartilhada, a resposta depende da memória de cada um.
- Quem entrou: usuário, origem e horário de cada acesso a cada equipamento.
- O que foi digitado: a sequência de comandos, na ordem, inclusive os que deram erro.
- O que foi negado: tentativas de rodar comandos fora do perfil, sinal de erro ou de abuso.
O guia sobre o que fazer quando o técnico de rede saiu do provedor mostra o outro lado do problema: sem login individual, a troca de senhas vira uma maratona em cada equipamento.
Como funciona a implantação de TACACS?
O equipamento deixa de conferir a senha sozinho e passa a perguntar ao servidor TACACS+ a cada login e, se configurado, a cada comando. A conversa usa TCP na porta 49, com o conteúdo protegido por uma chave compartilhada.
1 · Login
A pessoa abre o SSH
O técnico conecta no roteador pela rede de gerência e digita o próprio usuário e a própria senha.
2 · Autenticação
O servidor confere a identidade
O roteador repassa as credenciais ao servidor, que aceita ou recusa conforme o cadastro da pessoa.
3 · Autorização
Cada comando é consultado
Antes de executar, o roteador pergunta se aquele comando é permitido para o grupo do usuário.
4 · Registro
Tudo vai para o log
O comando executado segue para o servidor com usuário, equipamento e horário.
Se nenhum servidor responder, o roteador cai para o usuário local configurado como reserva. Por isso esse usuário existe e fica guardado em cofre.
A proteção do conteúdo pela chave é fraca pelos padrões de hoje, como a própria RFC 8907 reconhece. Isso reforça a regra de deixar os servidores e o tráfego de login dentro de uma rede de gerência isolada, atrás de firewall, e nunca expostos à internet.
TACACS+ ou RADIUS?
O TACACS+ controla comando a comando e separa as três funções, enquanto o RADIUS é mais simples e funciona em mais marcas. Muitos provedores acabam usando os dois.
| Critério | TACACS+ | RADIUS |
|---|---|---|
| Transporte | TCP, porta 49 | UDP |
| Autorização por comando | Sim | Não, só por perfil de acesso |
| Registro de comandos | Sim, comando a comando | Limitado ao início e fim da sessão |
| Suporte em MikroTik | Não | Sim |
Em rede mista, o desenho comum é TACACS+ nos roteadores e switches que suportam e RADIUS nos demais, ambos consultando a mesma base de usuários. Assim, desligar uma pessoa continua sendo uma mudança única.
Decisões de desenho antes de ligar
A decisão mais importante é garantir que a queda do servidor não tranque a equipe fora dos equipamentos. As outras definem onde os servidores ficam e quem pode fazer o quê.
- Dois servidores: em locais diferentes da rede.
- Usuário local de emergência: guardado em cofre, usado só se os servidores caírem.
- Servidores na rede de gerência: nunca expostos à internet.
- Grupos por função: NOC só consulta; quem mexe na borda tem acesso amplo.
- Registro de comandos ativo: com cópia num servidor separado.
| Grupo | Pode fazer | Não pode fazer |
|---|---|---|
| NOC | Comandos de consulta, como ver interfaces, rotas e alarmes | Qualquer mudança de configuração |
| Técnico N2 | Mexer em portas de acesso, ONUs e VLANs de cliente | Alterar BGP, roteamento ou filtros da borda |
| Especialista N3 | Configuração completa de borda e núcleo | Apagar o registro de comandos |
Sua gerência ainda entra pelo IP público?
Na rede de gerência isolada, o Especialista separa o acesso administrativo, monta o login individual por TACACS+ ou RADIUS e deixa o acesso de emergência testado.
Implantação de TACACS passo a passo
A implantação de TACACS exige dois servidores prontos, usuários e grupos cadastrados e um equipamento de teste antes de qualquer roteador de produção. A migração segue por grupo de equipamentos, sempre com o usuário local funcionando.
- Servidores: suba dois servidores TACACS+ na rede de gerência, em locais diferentes.
- Cadastro: crie um usuário por pessoa e os grupos por função, com os comandos de cada grupo.
- Equipamento de teste: configure um roteador de laboratório e confira login, autorização e registro.
- Reserva local: mantenha um usuário local forte, com a senha guardada em cofre.
- Migração: aplique por grupo de equipamentos, começando pelos menos críticos.
- Teste de queda: desligue os dois servidores numa janela e confirme o acesso pelo usuário local.
O exemplo liga um roteador a dois servidores TACACS+, com usuário local como reserva e registro de comandos.
aaa new-model
!
tacacs server TACACS-1
address ipv4 10.10.0.10
key 0 TROCAR-POR-CHAVE-LONGA
tacacs server TACACS-2
address ipv4 10.20.0.10
key 0 TROCAR-POR-CHAVE-LONGA
!
aaa group server tacacs+ TACACS-GRUPO
server name TACACS-1
server name TACACS-2
ip tacacs source-interface Loopback0
!
aaa authentication login default group TACACS-GRUPO local
aaa authorization exec default group TACACS-GRUPO local
aaa accounting commands 15 default start-stop group TACACS-GRUPONo servidor, softwares abertos como o tac_plus-ng definem os usuários, os grupos e os comandos permitidos.
E o MikroTik?
O RouterOS não tem cliente TACACS+. Nele, o login centralizado é feito por RADIUS, com grupos definidos no servidor.
Exemplo: o que cada bloco da configuração faz
A configuração tem três partes: declarar os servidores, agrupá-los e dizer ao roteador quando consultar o grupo e quando cair para o usuário local.
- tacacs server: declara cada servidor com o endereço na rede de gerência e a chave compartilhada.
- aaa group server: junta os dois servidores e fixa a Loopback0 como origem das consultas.
- aaa authentication e authorization: consultam o grupo primeiro e usam o usuário local só se nenhum responder.
- aaa accounting commands 15: envia ao servidor cada comando de nível 15 digitado, com início e fim.
A palavra local no fim das linhas de autenticação e autorização é o que impede o bloqueio total. Sem ela, uma falha nos dois servidores deixa o roteador acessível só pelo console físico.
Login centralizado como parte de uma defesa maior
Login centralizado reduz o estrago de uma senha vazada, mas não substitui rede de gerência fechada nem atualização dos equipamentos. Ele é uma camada entre várias.
O hardening de roteadores e OLTs, com serviços desnecessários desligados e acesso de gerência filtrado por origem, fecha a porta que o TACACS+ só controla. Sem ele, um equipamento exposto continua recebendo tentativas de login de toda a internet.
A rede de gerência isolada também protege a equipe durante um ataque DDoS: se a gerência passa pelo mesmo link que está lotado, o técnico perde o acesso justo quando mais precisa.
Coletores de NetFlow, servidores de registro e servidores TACACS+ costumam morar nessa mesma rede, longe do tráfego dos assinantes e com acesso só pela entrada protegida.
Veja o que acontece quando essas camadas faltam em provedor invadido. Se a senha se perdeu com quem saiu da empresa, comece por recuperar configuração de MikroTik.
A regulação de segurança cibernética da Anatel para prestadoras, o R-Ciber, trata de controle de acesso e de registro de eventos, e o login individual ajuda a mostrar esse controle [CONFIRMAR na norma].
Erros comuns que trancam a equipe fora
Os erros mais comuns trancam a equipe fora dos equipamentos ou deixam o servidor vulnerável. Quase todos aparecem só no dia em que um servidor cai, por isso o teste de queda faz parte da implantação.
Evite
- Um servidor só, sem usuário local de reserva.
- Chave do TACACS+ curta e igual à senha antiga.
- Servidor acessível pela internet.
- Todos os usuários com acesso total.
- Registro de comandos guardado só no próprio servidor.
Todo mundo com acesso total
Cadastrar todos no grupo de acesso completo resolve a identificação, mas desperdiça a autorização por comando.
Comece com três grupos simples e ajuste conforme as reclamações aparecerem. Um técnico do NOC que não consegue rodar um comando de consulta é um ajuste rápido no servidor; um técnico que apaga uma rota de borda por engano é uma noite inteira.
Checklist de validação do TACACS+
Teste a queda dos servidores antes de confiar no login centralizado. A implantação está pronta quando cada pessoa entra com o próprio usuário e o usuário local funciona com os dois servidores fora.
Marque o que já foi testado em cada grupo de equipamentos
- Cada pessoa entra com o próprio usuário.
- Um usuário do NOC não consegue mudar configuração.
- Os comandos aparecem no registro com usuário e horário.
- Com os dois servidores fora, o usuário local de emergência funciona.
- A cópia do registro chega ao servidor separado.
Com os cinco itens marcados, o grupo de equipamentos está migrado. Um item falhando é motivo para parar antes do próximo grupo.
A Táquion Tech implanta o login centralizado com grupos por função e registro de comandos, dentro do projeto de rede de gerência, com atendimento remoto a provedores de todo o Brasil.
Perguntas frequentes sobre implantação de TACACS+
Posso usar o RADIUS dos assinantes para o login da equipe?
Não é recomendado misturar. O servidor dos assinantes fica exposto a muito mais tráfego, e o login da equipe deve morar na rede de gerência, com base de usuários própria.
As OLTs aceitam login por TACACS+?
Muitas OLTs suportam TACACS+ ou RADIUS para login. Confira o modelo e a versão de firmware antes de incluir a OLT na migração.
O que acontece se os dois servidores caírem?
O equipamento usa o usuário local configurado como reserva. Por isso a senha dele fica guardada em cofre e é testada em toda janela de manutenção.
Existe servidor TACACS+ de código aberto?
Sim. O tac_plus-ng e outros projetos abertos são usados por provedores. A escolha depende de quem vai manter o servidor atualizado.
O registro de comandos serve como prova numa investigação?
Ajuda a reconstruir o que aconteceu, desde que a cópia fique num servidor que o invasor não alcance. O valor legal de cada registro depende do caso [CONFIRMAR na norma].
Serviços ligados a este guia
- Adequação ao R-Ciber para provedores Conformidade e Anatel
- Auditoria de segurança para provedores Consultoria e auditoria
- Padronização de configurações para provedores NOC e operação de rede
- Hardening de OLTs para provedores Segurança e anti-DDoS
- Elaboração de política de segurança cibernética para provedores Segurança e anti-DDoS
- Implantação de rede de gerência isolada para provedores Segurança e anti-DDoS
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 8907, The Terminal Access Controller Access-Control System Plus (TACACS+) Protocol: especificação do TACACS+.
- RFC 2865, Remote Authentication Dial In User Service (RADIUS): protocolo alternativo para login centralizado.
