Comprendre l’accès au réseau central à l’aide de RADIUS et TACACS+

Pourquoi est-ce que je veux l’authentification à distance ?

L’authentification à distance vous permet de conserver votre nom d’utilisateur et vos mots de passe en un seul endroit, sur un serveur central. L’avantage de l’utilisation de RADIUS ou TACACS+ sur ce serveur central est que vous ne configurez pas les modifications sur chaque périphérique réseau distinct lorsqu’un utilisateur est ajouté ou supprimé, ou lorsqu’un utilisateur modifie un mot de passe. Vous n’apportez qu’une seule modification à la configuration sur le serveur, puis les périphériques continuent d’accéder au serveur pour s’authentifier. Bien que l’authentification soit la fonction la plus connue de RADIUS et TACACS+, deux fonctions supplémentaires sont fournies, l’autorisation et la comptabilité.

Note:

Au lieu d’utiliser une base de données plate sur le serveur RADIUS, vous pouvez vous référer à des sources externes telles que des serveurs SQL, Kerberos, LDAP ou Active Directory pour vérifier les informations d’identification de l’utilisateur.

• Pourquoi ne pas simplement s’appuyer sur des pare-feu et des filtres pour le contrôle d’accès ?
• Qu’en est-il de l’utilisation de LDAP pour l’authentification ?

Où RADIUS est-il installé sur le réseau ?

RADIUS comprend trois composants : un serveur d’authentification, des protocoles clients et un serveur de comptabilité. La partie serveur RADIUS du protocole est généralement un processus d’arrière-plan exécuté sur un serveur UNIX ou Microsoft Windows.

Avec RADIUS, le terme client fait référence à un périphérique d’accès réseau (NAD) qui fournit la partie client du service RADIUS : un pool de modems, un commutateur, un pare-feu réseau ou tout autre périphérique devant authentifier les utilisateurs peut être configuré en tant que NAD pour reconnaître et traiter les demandes de connexion provenant de l’extérieur de la périphérie du réseau. Lorsqu’un NAD reçoit la demande de connexion d’un utilisateur, il peut effectuer une négociation d’accès initiale avec l’utilisateur pour obtenir des informations d’identité/mot de passe. Ensuite, le NAD transmet ces informations au serveur RADIUS dans le cadre d’une demande d’authentification/autorisation.

Note:

RADIUS nécessite que chaque périphérique client réseau soit configuré.

Comment TACACS+ est-il installé sur le réseau ?

Le protocole d’authentification d’ouverture de session TACACS+ utilise un logiciel s’exécutant sur un serveur central pour contrôler l’accès des appareils compatibles TACACS sur le réseau. Le serveur communique automatiquement avec les commutateurs ou d’autres périphériques compatibles TACACS : ces périphériques ne nécessitent pas de configuration supplémentaire s’ils sont compatibles TACACS. Le protocole TACACS+ est pris en charge par la plupart des appareils d’entreprise et de classe opérateur.

Installez le service TACACS+ le plus près possible de la base de données des utilisateurs, de préférence sur le même serveur. TACACS+ doit être étroitement synchronisé avec votre domaine, et tout problème de connexion réseau, de DNS ou même de décalage horaire peut entraîner une panne de service critique. L’installation de TACACS+ sur le même serveur que la base de données utilisateur peut également améliorer les performances.

Les serveurs TACACS+ doivent être déployés sur un réseau interne entièrement fiable. Si vous conservez votre service TACACS+ au sein de votre réseau de confiance, vous n’avez besoin d’ouvrir qu’un seul port, TCP 49. Il ne doit pas y avoir d’accès direct à partir de réseaux non approuvés ou semi-approuvés.

Note:

RADIUS est généralement déployé sur un réseau semi-sécurisé et TACACS+ utilise des identifiants d’administration internes. La combinaison de ces services sur le même serveur peut donc compromettre la sécurité de votre réseau.

Comparaison entre RADIUS et TACACS+

Tableau 1 : RADIUS et TACACS+

	RAYON	TACACS+
Utilisation principale	Authentifier et consigner les utilisateurs d’un réseau distant	Fournir un accès administrateur aux périphériques réseau tels que les routeurs et les commutateurs
Authentification et autorisation	La vérification de l’authentification et de l’autorisation sont regroupées. Lorsque l’appareil client demande l’authentification au serveur, celui-ci répond avec les attributs d’authentification et les attributs d’autorisation. Ces fonctions ne peuvent pas être exécutées séparément.	Les trois fonctions AAA (authentification, autorisation et comptabilité) peuvent être utilisées indépendamment. Par conséquent, une méthode telle que kerberos peut être utilisée pour l’authentification et une méthode distincte telle que TACACS+ peut être utilisée pour l’autorisation.
Comptabilité	Les fonctionnalités comptables du protocole RADIUS peuvent être utilisées indépendamment de l’authentification ou de l’autorisation RADIUS.
Protocole	Le protocole UDP (User Datagram Protocol)/IP dans la mesure du possible est utilisé pour la livraison sur les ports 1645/1646, 1812/1813	TCP utilisé pour la livraison sur le port 49. Dispose également d’une prise en charge multiprotocole pour le protocole ARA (AppleTalk Remote Access), le protocole NetBIOS Frame Protocol Control, Novell Asynchronous Services Interface (NASI) et la connexion X.25 PAD.
Chiffrement appliqué à	Mot de passe	Nom d’utilisateur et mot de passe
Sécurité 802.1X	Si vous souhaitez utiliser le contrôle d’accès réseau basé sur les ports 802.1x, vous devez utiliser le client RADIUS, car le client TACACS+ ne prend pas en charge cette fonctionnalité.
Modèle	Client/Serveur
Environnement recommandé	Semi-fiable	Confiance