Como configurar a autenticação TACACS+ em switches através do controlador Omada
08-19-2024
21650Conteúdo
Este artigo descreve como implementar a autenticação TACACS+ no switch por meio de modelos de CLI no Controlador Omada.
- Switches Omada Smart / L2+ / L3
- Controlador Omada (Software Controller / Hardware Controller / Cloud-Based Controller, V5.9 e superior)
Para aumentar a segurança da rede, podemos usar o TACACS+ para implementar o controle de acesso nos switches. Por exemplo, quando um cliente conectado a um switch precisa acessar o switch via protocolo SSH, ele deve primeiro passar pelo processo de autenticação. Na topologia de rede a seguir, o TACACS+ pode ser configurado no Controlador Omada por meio de modelos de CLI para garantir que apenas usuários autenticados possam acessar o switch.
Passo 1. Instale o Servidor TACACS+ no Ubuntu 20.04 (or superior) por meio das seguintes etapas:
1. Baixe o arquivo de origem mais recente do Servidor TACACS+ em ftp://ftp.shrubbery.net/pub/tac_plus.
2. Descompacte o arquivo de origem: tar -zxvf tacacs-F4.0.4.28.tar.gz
3. Acesse os arquivos descompactados: cd /path/to/tacacs-F4.0.4.28
4. Insira ./configure. Se uma mensagem de erro for exibida, execute o comando sudo apt-get install libwrap0-dev flex bison.
5. Execute sudo make install.
6. Adicione um caminho de inclusão: sudo vi /etc/ld.so.conf. Após a modificação, salve as configurações e saia. Vá ao terminal para executar sudo ldconfig.
Passo 2. Configure o Servidor TACACS+.
1. Use o comando sudo mkdir /etc/tacacs+ para criar uma nova pasta.
2. Crie um arquivo de configuração tac_plus.conf no caminho /etc/tacacs+: touch tac_plus.conf
3. Modifique o arquivo de configuração tac_plus.conf: sudo vi /etc/tacacs+/tac_plus.conf
Você pode copiar as seguintes linhas de comando para o arquivo de configuração tac_plus.conf como um teste.
#Make this a strong key
key = tplink_123
# Using local PAM which allows us to use local Linux users
default authentication = file /etc/passwd
#Define groups that we shall add users to later
group = test1 {
default service = permit
service = exec {
priv-lvl = 15
}
}
group = test2 {
default service = deny
service = exec {
priv-lvl = 1
}
}
group = test3 {
default service = permit
login = file /etc/passwd
service = exec {
priv-lvl = 2
}
}
#Defining my users and assigning them to groups above
user = manager {
member = test1
}
user = user1 {
member = test2
}
user = user2 {
member = test3
}
Salve e saia do arquivo editado de tac_plus.conf, crie os usuários correspondentes e defina as senhas no sistema Linux.
O nível de privilégio (priv-lvl) possui 15 níveis e quatro permissões de gerenciamento diferentes no switch:
1~4: Permissão de usuário (User). Os usuários só podem visualizar, mas não podem editar ou modificar as configurações. Recursos de L3 não podem ser visualizados.
5~9: Permissão de superusuário (Super User). Os superusuários podem visualizar, editar e modificar algumas funções, como VLAN, configuração de HTTPS, Ping, etc.
10~14: Permissão de operador (Operator). Com base na permissão de superusuário, os operadores também podem configurar LAG, endereço MAC, controle de acesso, configuração de SSH e outros ajustes.
15: Privilégio de administrador (Administrator). O administrador pode visualizar, editar e modificar todas as funções.
Nota: Switches que foram adotados pelo Controlador Omada não podem ser configurados diretamente via CLI local.
Passo 3. Reinicie o Servidor TACACS+ e adicione os usuários. Sempre após modificar o arquivo tac_plus.conf, você precisa reiniciar o Servidor TACACS+. Use o comando sudo tac_plus -C /etc/tacacs+/tac_plus.conf para reiniciar e o comando adduser para adicionar usuários e definir senhas no sistema Linux.
adduser manager
adduser user1
adduser user2
Nota: Aqui “manager”, “user1” e “user2” correspondem respectivamente aos usuários configurados no arquivo tac_plus.conf. Da mesma forma, para adicionar novos usuários, você precisa incluí-los no arquivo tac_plus.conf e reiniciar o Servidor TACACS+.
Passo 4. Defina os modelos de CLI no Controlador Omada. Vá em Configurações (Settings) > Configuração de CLI (CLI Configuration) > CLI do Dispositivo (Device CLI) e clique em Criar Novo Perfil de CLI do Dispositivo (Create New Device CLI Profile).
Especifique o nome e insira os seguintes comandos de CLI. Os comandos de CLI aqui são usados para atribuir o endereço IP, a porta e o segredo de compartilhamento (key) ao Servidor TACACS+ e para implementar a autenticação TACACS+ quando o switch for acessado via protocolo SSH.
tacacs-server host 192.168.0.30 port 49 timeout 5 key 0 tplink_123
aaa authentication login test tacacs
line ssh
login authentication test
Selecione o switch de destino na janela pop-up de Escolher Dispositivo (Choose Device) e clique em Confirmar (Confirm). Em seguida, clique em Salvar (Save) para gravar as configurações.
Vá em Configurações (Settings) > Serviços (Services) > SSH para habilitar o Acesso via SSH (SSH Login) e clique em Aplicar (Apply).
Ao usar o PuTTY para acessar o switch via SSH, o nome de usuário e a senha definidos no Servidor TACACS+ serão exigidos para o login.
Você configurou com sucesso o Servidor TACACS+ para controlar o acesso dos clientes ao switch.
Para saber mais detalhes de cada função e configuração, por favor acesse o Centro de Downloads para baixar o manual do seu produto.
