TACACS+

Requisitos:

• Acceso al panel de Ironchip con rol de administrador
• Dispositivo de red compatible con TACACS+ (switches, routers, firewalls)
• Conectividad desde el dispositivo hasta Identity Platform por el puerto TCP 49

Pasos a seguir:

• Crear la aplicación en Ironchip
• Configurar perfiles de autorización
• Configurar el dispositivo de red
• Ejemplo de autenticación

Crear la aplicación en Ironchip

El primer paso es crear una aplicación TACACS+ en el panel de Ironchip:

Para ello ve a Applications, y pulsa en New Application.

En el primer cuadro con título Custom application pulsa en Create application.

Ponle un nombre identificativo y selecciona tipo TACACS+. Pulsa Add service.

Completa los siguientes campos:

• Shared secret: El secreto compartido entre el dispositivo de red e Identity Platform. Este secreto es uno a tu elección, pero debe ser el mismo en el dispositivo y en el panel. Se recomienda un mínimo de 24 caracteres.
• Devices: Direcciones IP o rangos CIDR de los dispositivos autorizados a consultar al servidor TACACS+. Las peticiones de otros orígenes se rechazan.
• Authentication method: Método con el que se valida al administrador. Puedes elegir entre Ironchip (modelo passwordless), LDAP, RADIUS o certificado, según lo configurado en la guía de validación centralizada.
• Second factor: OTP o MFA de Ironchip, opcional u obligatorio.

Pulsa en Save. Identity Platform comenzará a escuchar peticiones TACACS+ en el puerto TCP 49.

Configurar perfiles de autorización

Los perfiles definen qué puede hacer cada administrador una vez autenticado. Ve a la aplicación creada, abre la pestaña Authorization y pulsa en New profile.

• Name: Nombre del perfil, por ejemplo network-admin o read-only.
• Privilege level: Nivel de privilegio, de 0 a 15, que se entrega al dispositivo.
• Allowed commands: Lista de comandos permitidos, con soporte de expresiones regulares.
• Denied commands: Lista de comandos denegados. Tiene prioridad sobre la lista de permitidos.

Una vez creados, asigna cada perfil a un usuario o a un grupo de Identity Platform. Un usuario que pertenezca a varios grupos recibe el perfil de mayor privilegio, salvo que definas otro orden de prioridad en Priority.

Todas las sesiones y los comandos ejecutados quedan registrados (accounting) y pueden consultarse en el apartado Events del panel o exportarse mediante la exportación de eventos.

Configurar el dispositivo de red

Configura el dispositivo para que utilice Identity Platform como servidor TACACS+. A continuación se muestra un ejemplo para un dispositivo con Cisco IOS:

aaa new-model  tacacs server ironchip  address ipv4 <ip de Identity Platform>  port 49  key <secreto compartido>  aaa group server tacacs+ ironchip-group  server name ironchip  aaa authentication login default group ironchip-group local  aaa authorization exec default group ironchip-group local  aaa authorization commands 15 default group ironchip-group local  aaa accounting exec default start-stop group ironchip-group  aaa accounting commands 15 default start-stop group ironchip-group

Nota: La palabra clave local al final de cada línea mantiene un acceso local de emergencia si el servidor TACACS+ no responde. Asegúrate de conservar una cuenta local de administración antes de aplicar la configuración.

Para comprobar la conectividad, ejecuta en el dispositivo:

test aaa group ironchip-group <usuario> <código OTP> legacy

Ejemplo de autenticación

Al conectar por SSH al dispositivo, el administrador introduce su usuario y, en el campo de contraseña, el segundo factor. Si el método de autenticación es Ironchip, el dispositivo envía la petición a Identity Platform, que valida al administrador, comprueba la localización y los factores configurados y devuelve el perfil de autorización correspondiente.

Destacar que algunos dispositivos no permiten dejar el campo de contraseña vacío, por lo que el texto de este campo puede ser aleatorio cuando el método de autenticación es Ironchip.