TACACS+简单说明

1 TACACS+概述

1.1 什么是TACACS+

TACACS+（Terminal Access Controller Access Control System，终端访问控制器控制系统协议）是在TACACS协议的基础上进行了功能增强的安全协议。该协议与RADIUS协议的功能类似，采用客户端/服务器模式实现NAS与TACACS+服务器之间的通信。

1.2 TACACS+的用途

TACACS+协议主要用于PPP和VPDN（Virtual Private Dial-up Network，虚拟私有拨号网络）接入用户及终端用户的AAA。

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

认证：确认访问网络的远程用户的身份，判断访问者是否为合法的网络用户。

授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作。

计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。

AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如下图：

当用户想要通过某网络与NAS建立连接，从而获得访问其它网络的权利或取得某些网络资源的权利时，NAS起到了验证用户的作用。NAS负责把用户的认证、授权、计费信息透传给服务器（RADIUS服务器或HWTACACS服务器），RADIUS协议或HWTACACS协议规定了NAS与服务器之间如何传递用户信息。

图1-1的AAA基本组网结构中有两台服务器，用户可以根据实际组网需求来决定认证、授权、计费功能分别由使用哪种协议类型的服务器来承担。例如，可以选择HWTACACS服务器实现认证和授权，RADIUS服务器实现计费。

当然，用户也可以只使用AAA提供的一种或两种安全服务。例如，公司仅仅想让员工在访问某些特定资源的时候进行身份认证，那么网络管理员只要配置认证服务器就可以了。但是若希望对员工使用网络的情况进行记录，那么还需要配置计费服务器。

TACACS+的典型应用是对需要登录到设备上进行操作的终端用户进行认证、授权、计费。设备作为TACACS+的客户端，将用户名和密码发给TACACS+服务器进行验证。用户验证通过并得到授权之后可以登录到设备上进行操作。

2 TACACS+和RADIUS的比较

从上面的描述来看，TACACS+和目前被广泛使用的RADIUS很相似，那么他们有什么区别和联系呢？下面这个表格可以说明这个问题：

TACACS+协议

RADIUS协议

使用TCP，网络传输更可靠

使用UDP，网络传输效率更高

除了TACACS+报文头，对报文主体全部进行加密

只对验证报文中的密码字段进行加密

协议报文较为复杂，认证和授权分离，使得认证、授权服务可以分离在不同的安全服务器上实现。例如，可以用一个TACACS+服务器进行认证，另外一个TACACS+服务器进行授权

协议报文比较简单，认证和授权结合，难以分离

支持对设备的配置命令进行授权使用。用户可使用的命令行受到用户级别和AAA授权的双重限制，某一级别的用户输入的每一条命令都需要通过TACACS+服务器授权，如果授权通过，命令就可以被执行

不支持对设备的配置命令进行授权使用

用户登录设备后可以使用的命令行由用户级别决定，用户只能使用缺省级别等于/低于用户级别的命令行

3 TACACS+的基本原理

3.1 TACACS+的基本消息交互流程

下图是TACACS+协议的基本信息交互流程：

以Telnet用户认证过程为例，基本消息交互流程如下：

(1) Telnet用户请求登录设备。

(2) TACACS+客户端收到请求之后，向TACACS+服务器发送认证开始报文。

(3) TACACS+服务器发送认证回应报文，请求用户名。

(4) TACACS+客户端收到回应报文后，向用户询问用户名。

(5) 用户输入用户名。

(6) TACACS+客户端收到用户名后，向TACACS+服务器发送认证持续报文，其中包括了用户名。

(7) TACACS+服务器发送认证回应报文，请求登录密码。

(8) TACACS+客户端收到回应报文，向用户询问登录密码。

(9) 用户输入密码。

(10) TACACS+客户端收到登录密码后，向TACACS+服务器发送认证持续报文，其中包括了登录密码。

(11) TACACS+服务器发送认证回应报文，指示用户通过认证。

(12) TACACS+客户端向TACACS+服务器发送授权请求报文。

(13) TACACS+服务器发送授权回应报文，指示用户通过授权。

(14) TACACS+客户端收到授权回应成功报文，向用户输出设备的配置界面。

(15) TACACS+客户端向TACACS+服务器发送计费开始报文。

(16) TACACS+服务器发送计费回应报文，指示计费开始报文已经收到。

(17) 用户请求断开连接。

(18) TACACS+客户端向TACACS+服务器发送计费结束报文。

(19) TACACS+服务器发送计费结束报文，指示计费结束报文已经收到。

4 TACACS+的报文结构和具体工作过程

4.1 TACACS+的报文类型

TACACS+共有7种类型的消息：

1、Authentication_START

2、Authentication_CONTIUNE

3、Authentication_REPLY

4、Authorization_REQUEST

5、Authorization_RESPONSE

6、Accounting_REQUEST

7、Accounting_REPLY

4.2 TACACS+包头

所有的TACACS+数据包都使用12字节长的包头，结构如下：

图1 TACACS+包头

图2 TACACS+包头（实例）

下面对各个字段分别进行说明：

Major version的取值为0x0C

Minor version一般为0，一些特殊场景取值为1，本文后面会有说明

Type为1表示认证，2表示授权，3表示计费

Seq_no，序列号，从1开始，随报文交互递增

Flags，用来表示一些特殊条件，比如不加密（0x01），支持单连接多会话（0x04）等

Session_id为TACACS+会话的ID，是个随机数。

Length为TACACS+报文除头部之外的长度

4.3 TACACS+数据包的加密

TACACS+支持除包头之外所有信息的加密，加密方法如下：

1、将session_id、secret key, 版本号和sequence number一起进行MD5运算（其中secret key 为TACACS客户端和服务器之间的共享秘密），计算结果为MD5_1

2、后续的MD5运算将上次MD5运算的结果也纳入运算范围，如下：

MD5_1 = MD5{session_id, key, version, seq_no}

MD5_2 = MD5{session_id, key, version, seq_no, MD5_1}

....

MD5_n = MD5{session_id, key, version, seq_no, MD5_n-1}

3、将所有的运算结果连接起来，直到总长度大于需要加密的数据的长度，然后截断到实际数据的长度，得到pseudo_pad：

pseudo_pad = {MD5_1 [,MD5_2 [ ... ,MD5_n]]} truncated to len(data)

4、随后将需要加密的数据和上面的pseudo_pad进行XOR运算，得到密文：

ENCRYPTED {data} == data ^ pseudo_pad

由于TACACS+对整个数据包进行加密，私密性要好于RADIUS，窃听者无法根据报文的内容来猜测网络的配置和用户的身份。

4.4 Authentication消息

Authentication 消息包括三种类型：START、CONTINUE和REPLY。

4.4.1 Authentication Start

认证开始时，客户端发送START消息，START消息中包括认证类型，同时可能包括用户名和一些认证数据。

START消息一般来说是认证过程的第一个数据包，其seq_no总是1。

如果收到RESTART消息，客户端需要发送START消息重新开始认证（使用一个新的会话）。

Server发送REPLY消息来回应START消息，表示认证结束或者仍需要继续。

图3 Authentication Start消息

Action字段表示具体的认证操作，如认证请求、上传密码等等。

priv_lvl字段表示用户的权限级别。

authen_type字段表示认证的类型，如PAP、CHAP等。

Service字段表示服务类型。

user字段表示用户名，该字段不一定在START消息中存在。

port字段表示客户端上发生认证行为的端口，具体取值客户端可以自行定义，没有明确的要求。

rem_addr字段表示用户的地址信息，属于可选字段，一般使用客户端IP地址、ISDN Caller ID等填充。

data字段用于针对action和authen_type字段的值来传递一些信息。

4.4.2 Authentication Reply

REPLY消息是TACACS+服务器向客户端发送的唯一一种Authentication 消息，用于向客户端反馈当前认证的状态。

图4 Authentication Reply消息

Status字段表示认证的状态。

flags字段用于控制客户端是否将用户输入的密码回显，如果该标志位置1，用户输入的密码不会回显。

server_msg字段为可选字段，用于服务器将一些附加信息带给用户。

data字段用于向客户端（NAS）提供一些信息。

4.4.3 Authentication Continue

客户端收到REPLY消息后，如果确认认证过程没有结束，使用CONTINUE消息应答。

图5 Authentication Continue消息

user_msg字段用于回应REPLY消息中的server_msg字段，向服务器提供客户端或用户的一些信息

flags字段用于中断认证过程

4.5 TACACS+认证过程

TACACS+认证的工作过程取决于START消息中的action和authen_type字段的取值。

不同的action和authen_type字段的组合需要配合不同的priv_lvl、service、port和rem_addr字段，实现不同的业务。

TACACS+协议中目前描述了13个action和authen_type字段的组合，这里列出几个比较常见的组合：

4.5.1 Enable Requests

Enable Requests通常用于提升当前用户的级别的场合，比如Linux系统的su命令，Comware的super命令等，认证过程和后面马上要讲到的Inbound ASCII Login很相似

Action = TAC_PLUS_AUTHEN_LOGIN

priv_lvl = implementation dependent

authen_type = not used

service = TAC_PLUS_AUTHEN_SVC_ENABLE

4.5.2 Inbound ASCII Login

管理用户login的场景，非常常见，该场景下START消息可以携带用户名，整个交互过程包括一个START，中间可能存在一对或多对CONTINUE/REPLY，最后以一个REPLY结束

action = TAC_PLUS_AUTHEN_LOGIN

authen_type = TAC_PLUS_AUTHEN_TYPE_ASCII

4.5.3 Inbound CHAP login

CHAP认证，最常见的是PPP认证的场景，整个交互过程包括一个START和一个REPLY消息，START消息中必须包含用户名。

Action = TAC_PLUS_AUTHEN_LOGIN

authen_type = TAC_PLUS_AUTHEN_TYPE_CHAP

minor_version = 0x1

4.5.4 具体认证过程

如下是Comwarev5平台Telnet用户使用HWTACACS认证过程：

AUTHEN_REQUEST ------------->

<------------- AUTHEN_REPLY（status:AUTHEN_STATUS_GETPASS）

AUTHEN_CONTINUE（with password） ------------->

<------------- AUTHEN_REPLY（status:AUTHEN_STATUS_PASS）

4.5.5 认证过程的中止

客户端可以通过在CONTINUE消息中携带一个TAC_PLUS_CONTINUE_FLAG_ABORT标志位来中止正在进行的认证过程，同时可以在data字段携带中止认证的原因。该CONTINUE消息不需要REPLY消息的回应。

4.6 Authorization消息

Authorization 消息包括两种类型：REQUEST和RESPONSE。

4.6.1 Authorization Request

Authorization Request消息的机构比较复杂，如下：

图6 Authorization Request消息

Authorization Request消息中包括了授权所需的一切信息，这些信息分为两类，一类是必选的，另一类是可选的。

其中，authen_method字段表示授权的方式，TACACS+的认证和授权是分离的，用户可以使用TACACS+认证而使用其它协议进行授权。

priv_lvl字段、authen_type字段、authen_service字段、port字段、rem_addr字段的含义和authentication消息中的相应字段一样。

user字段表示用户名。

arg_cnt字段表示REQUEST消息中携带的argument的数量， argument是一个AVP的结构，其中attribute和value之间使用等号（=）或星号（*）连接，当使用等号连接时表示该AVP是必选的，使用星号连接时表示该AVP是可选的。

AVP的类型很多，这里就不一一列举了。

4.6.2 Authorization Response

Authorization Response消息的结构如下：

图7 Authorization Response消息

Response消息中包括了授权的结果和一些其它的参数

status字段表示授权的结果和权限的操作方式

server_msg字段是服务器给用户的提示信息。

data字段是服务器提供给管理员的信息。

arg_cnt字段表示RESPONSE消息中携带的argument的数量，argument的格式和REQUEST消息中相同。

4.7 具体授权过程

4.7.1 Comwarev5设备使用HWTACACS认证/授权

AUTHOR_REQUEST ------------->

<------------- AUTHOR_REPLY（status:AUTHOR_STATUS_PASS_ADD）

4.8 Accounting消息

Accounting消息包括两种类型：REQUEST和REPLY。

4.8.1 Accounting Request

Accounting Request消息的结构如下：

图8 Accounting Request消息

Accounting Request消息中包括了计费所需的信息。

flags字段表示计费报文的类型，包括计费开始。计费停止和实时计费。

其它字段的含义和与authorization和authentication中对应字段的含义一致，这里不再赘述。

Accounting REQUEST消息中也可以携带很多AVP形式的参数，参数的数量很多，这里就不一一列举了。

data字段是服务器提供给管理员的信息。

4.8.2 Accounting Reply

Accounting Reply消息的结构如下：

图9 Accounting Reply消息

其中status字段表示计费的状态，标志计费是否成功。

server_msg字段表示服务器发给用户的信息，由客户端来决定是否显示给用户。

4.9 具体计费过程

4.9.1 Comwarev5设备使用HWTACACS进行PPP用户计费

下面是Comwarev5设备使用HWTACACS进行PPP用户计费的过程，包括计费开始，计费持续和计费停止的全过程。

ACCOUNTING_REQUEST（flag:ACCT_FLAG_START ------------->

<------------- ACCOUNTING_REPLY（status:ACCT_STATUS_SUCCESS）

ACCOUNTING_REQUEST（flag:ACCT_FLAG_WATCHDOG） ------------->

<------------- ACCOUNTING_REPLY（status:ACCT_STATUS_SUCCESS）

ACCOUNTING_REQUEST（flag:ACCT_FLAG_STOP） ------------->

<------------- ACCOUNTING_REPLY（status:ACCT_STATUS_SUCCESS）

4.10 TACACS+的附加功能

除了正常的AAA功能外，为确保功能实现的冗余和实时计费准确性等等，很多TACACS+实现都包括下面的内容：

1、计费停止报文的缓存和重传机制；

2、认证、授权、计费服务器的主备切换功能。

4.11 Tacacs in Comware（以V5为例）

Comware v5的HWTACACS功能基本上实现了TACACS+所规定的功能：

hwtacacs scheme tacacs

primary authentication 101.3.201.1

primary authorization 101.3.201.1

primary accounting 101.3.201.1

key authentication h3c

key authorization h3c

key accounting h3c

timer realtime-accounting 3

user-name-format without-domain