Посоветуйте лучший radius и tacacs сервера для ААА админов

[bda]

Коллеги, собственно subj. Посоветуйте пожалуйста.

 

PS Видел в одной конторе следующую картину: на всех цисках настроен как радиус так и такакс. Но не успел уточнить, заем так сделано и детали. Никто с таким не встречался вариантом? Не подскажете? Может линки какие есть?

[bda]

Коллеги, просьба подсказать... Вопрос очень интересует.

[orlik]

Коллеги, собственно subj. Посоветуйте пожалуйста.

 

PS Видел в одной конторе следующую картину: на всех цисках настроен как радиус так и такакс. Но не успел уточнить, заем так сделано и детали. Никто с таким не встречался вариантом? Не подскажете? Может линки какие есть?

Что-то у вас топик с темой не вяжется

[ilgizk]

Коллеги, просьба подсказать... Вопрос очень интересует.

А зачем одновременно radius и tacacs? Какая в этом необходимость? Если нужен просто стабильный и функциональный сервер авторизации, то надо брать FreeRADIUS. А про такакс вообще забыть )

 

[bda]

Коллеги, просьба подсказать... Вопрос очень интересует.

А зачем одновременно radius и tacacs? Какая в этом необходимость? Если нужен просто стабильный и функциональный сервер авторизации, то надо брать FreeRADIUS. А про такакс вообще забыть )

 

А если есть необходимость логировать введенные комманды в шелле и разграничение на ввод определенных комманд? Как тут быть в случае с freeradius?

[Kaban]

в радиусе аутентификация и авторизация совмещенные процедуры, поэтому отдельно авторизацию комманд на радиусе реализовать нельзя.

Edited August 14, 2008 by Kaban

[Bushi]

Там скорее всего Radius был настроен на циске для AAA коммутируемых соединений, а Tacacs для авторизации и аккаунтинга login, commands. Под unix like лучше использовать пакет tac_plus.

 

[bda]

Там скорее всего Radius был настроен на циске для AAA коммутируемых соединений, а Tacacs для авторизации и аккаунтинга login, commands. Под unix like лучше использовать пакет tac_plus.

Так-плюсов существует некоторое кол-во. Подскажите какой самый актуальный и богатый фичами?

[Bushi]

ftp://ftp.shrubbery.net/pub/tac_plus/

В FreeBSD ports/net/tac_plus4

Edited August 14, 2008 by Bushi

[bda]

ftp://ftp.shrubbery.net/pub/tac_plus/

В FreeBSD ports/net/tac_plus4

А почему именно этот такакс? Ведь существует масса других? Этот по-моему уже очень давно не обновлялся...

[Bushi]

Видимо потому что его функционала достаточно. Честно говоря, другие не смотрел - этот вполне устраивает.

[bda]

А этот такакс пароли в открытом виде хранит в своем конфиге? Ктстаи, как он хранит enable-пароль?

[Bushi]

Пароли он может брать из сиквельной базы данных, может брать системные.

[bda]

Мне показывали некий tacplus, который умел в конфиге хранить пароли в виде хеша, причем и enable - тоже. Этот так умеет?

[Bushi]

Да

[bda]

Спасибо! буду пробовать !

[ilgizk]

А зачем одновременно radius и tacacs? Какая в этом необходимость?

А если есть необходимость логировать введенные комманды в шелле и разграничение на ввод определенных комманд? Как тут быть в случае с freeradius?

В Cisco для логгирования введенных в CLI команд есть команда archive (введенные команды пишутся в logging), для ограничения набора команд можно использовать view. В этих случаях RADIUS не при чем.

 

[tgz]

В Cisco для логгирования введенных в CLI команд есть команда archive (введенные команды пишутся в logging), для ограничения набора команд можно использовать view. В этих случаях RADIUS не при чем.

view по сравнению с tacacs - убогий костыль.

[bda]

А зачем одновременно radius и tacacs? Какая в этом необходимость?

А если есть необходимость логировать введенные комманды в шелле и разграничение на ввод определенных комманд? Как тут быть в случае с freeradius?

В Cisco для логгирования введенных в CLI команд есть команда archive (введенные команды пишутся в logging), для ограничения набора команд можно использовать view. В этих случаях RADIUS не при чем.

Тагда подскажите, в чем преимуущество радиуса? Стою перед глобальной задачей. Очень много рутеров и свичей... Внедрить такакс и потом все переделывать на радиус - не очень прикольно. Я понимаю, когда 2-3, ну 10 аппаратов, но когда несколько сотен.

Поэтому просьба помочь...

[ram_scan]

Такакс скажем так, уже историческая вещь, которую на тебе народ тащит чисто заради обратной совместимости. Цыско его еще в 90-лохматых годах открыла. Мое имхо - на него морочиться заранее уже смысла никакого. Все что можно было раньше сделать через такакс можно сделать нынче через радиус. И даже более чем. Учитывая то что девайсов с поддержкой радиуса заметно больше чем с поддержкой такакса выбор очевиден. Единственный вариант - это когда на сети стоит куча девайсов которые акромя такакса нихрена не держат, и заменить их нельзя.

[visir]

Такакс скажем так, уже историческая вещь, которую на тебе народ тащит чисто заради обратной совместимости. Цыско его еще в 90-лохматых годах открыла. Мое имхо - на него морочиться заранее уже смысла никакого. Все что можно было раньше сделать через такакс можно сделать нынче через радиус. И даже более чем. Учитывая то что девайсов с поддержкой радиуса заметно больше чем с поддержкой такакса выбор очевиден. Единственный вариант - это когда на сети стоит куча девайсов которые акромя такакса нихрена не держат, и заменить их нельзя.

Вот только авторизацию на выполнение каждой комманды можно сделать только через такакс...

[bda]

Такакс скажем так, уже историческая вещь, которую на тебе народ тащит чисто заради обратной совместимости. Цыско его еще в 90-лохматых годах открыла. Мое имхо - на него морочиться заранее уже смысла никакого. Все что можно было раньше сделать через такакс можно сделать нынче через радиус. И даже более чем. Учитывая то что девайсов с поддержкой радиуса заметно больше чем с поддержкой такакса выбор очевиден. Единственный вариант - это когда на сети стоит куча девайсов которые акромя такакса нихрена не держат, и заменить их нельзя.

Вот только авторизацию на выполнение каждой команды можно сделать только через такакс...

Вот-вот, да в общем, интересен соответствующий функционал. Конечно, не относительно одной как-то команды, но авторизация на группу комманд - очень необходима.