Weil Ihr Switch mehr verdient als admin:admin

In der schnelllebigen IT von heute sind Netzwerkgeräte wie Switches, Router und Firewalls kritische Infrastruktur.
Während Benutzerzugriffen und Endgeräten viel Aufmerksamkeit gilt, sind die Geräte, die die zentrale Konnektivität erst ermöglichen, oft nur durch schwache oder uneinheitliche Authentifizierung geschützt.
Deshalb ist die Einführung des TACACS+-Protokolls für Authentifizierung, Autorisierung und Accounting (AAA) ein deutlicher Fortschritt bei der Absicherung Ihrer Netzwerkinfrastruktur.

So funktioniert TACACS+

TACACS+ ist ein Protokoll, das speziell für den administrativen Zugriff auf Netzwerkgeräte entwickelt wurde.
Ein vereinfachter Überblick über die Funktionsweise:

• Authentifizierung:
  Ein Netzwerkgerät (z. B. ein Switch) arbeitet als TACACS+-Client und leitet die Anmeldedaten des Administrators an einen zentralen TACACS+-Server weiter.

• Autorisierung:
  Nach erfolgreicher Authentifizierung liefert der Server nicht nur ein „Ja/Nein“, sondern eine detaillierte Richtlinie, welche Befehle der Benutzer ausführen darf (zum Beispiel show-Befehle, config-Befehle, enable-Modus usw.).

• Accounting:
  Der Server protokolliert, welche Aktionen der Benutzer ausführt, wie lange die Sitzung dauert und welche Befehle und Berechtigungsstufen genutzt wurden.

Wichtige Merkmale des Protokolls

Einige Protokolldetails, die TACACS+ auszeichnen:

• Nutzt TCP (Port 49) für eine zuverlässige Paketzustellung.

• Verschlüsselt die gesamte Nutzlast des Pakets, nicht nur das Passwortfeld.

• Trennt Authentifizierung, Autorisierung und Accounting, statt sie zu bündeln (wie es andere Protokolle wie RADIUS tun).

Was bringt das für die Sicherheit?

Vergleichen wir zwei Szenarien:
Ein einfacher Switch mit lokalem Passwort und derselbe Switch mit TACACS+.

Szenario A: Switch mit lokalem Passwort

• Ein einziges Passwort (oder gemeinsam genutzte Zugangsdaten) ist in der lokalen Benutzerdatenbank des Switches hinterlegt.

• Jeder Administrator nutzt dieselben Zugangsdaten oder vielleicht eigene, die aber trotzdem lokal gespeichert sind.

• Es gibt keine zentrale Protokollierung, welcher Benutzer welche Änderung vorgenommen hat.

• Wird der Switch kompromittiert (Passwort geleakt, Standardkonto vorhanden), erhält ein Angreifer vollen Zugriff auf das Gerät.

• Nutzen mehrere Geräte jeweils andere lokale Zugangsdaten, müssen Sie trotzdem viele Speicherorte für Zugangsdaten verwalten, erneuern und prüfen.

Szenario B: derselbe Switch mit TACACS+

• Der Switch leitet die Authentifizierung an einen zentralen TACACS+-Server weiter.

• Administratoren melden sich mit persönlichen Zugangsdaten an (gegebenenfalls an Ihren Verzeichnisdienst gebunden).

• Die Autorisierung legt fest, welche Befehle jeder Administrator ausführen darf: Manche dürfen nur den Status „ansehen“, andere die Konfiguration ändern.

• Alle Aktionen (wer sich wann angemeldet und was getan hat) werden an einer Stelle protokolliert.

• Verlässt ein Administrator das Unternehmen, deaktivieren Sie einfach sein Konto im zentralen Verzeichnis, und er verliert überall den Zugriff.

• Das gemeinsame Geheimnis zwischen Switch und Server ist geschützt, und die Gerätekonfiguration wird einheitlich und prüfbar.
  Ergebnis:
  Der TACACS+-Ansatz senkt das Risiko deutlich. Ein Wildwuchs an Zugangsdaten wird vermieden, Audits werden einfacher, und die Frage „Wer hat was getan?“ ist beantwortet.
  Das Modell mit lokalen Passwörtern ist dagegen fragil, schwer zu prüfen und leicht falsch zu verwalten.

Beispielkonfiguration für Aruba-Switches

Hier ein einfaches Beispiel, wie Sie einen Aruba-Switch (AOS-CX) für den administrativen Zugriff über TACACS+ konfigurieren können.
Passen Sie die Details (IP-Adressen, Geheimnisse, Benutzernamen) an Ihre Umgebung an.

TACACS+-Server konfigurieren

tacacs-server host <YOUR_TACACS_SERVER> key plaintext <YOUR_PASSWORD>

AAA-Richtlinie konfigurieren

aaa authentication login default group tacacs local aaa authorization commands default group tacacs local aaa accounting all-mgmt default start-stop group tacacs local

Lokalen Benutzer konfigurieren (Notfallkonto)

Wird nur genutzt, wenn der TACACS+-Server nicht erreichbar ist user admin group administrators password plaintext <YOUR_PASSWORD>

Erklärung

• Der Switch kontaktiert den TACACS+-Server mit dem konfigurierten Schlüssel oder Passwort.

• Die Admin-Anmeldung versucht zuerst TACACS+ und greift bei Nichterreichbarkeit auf die lokale Datenbank zurück.

• Die Autorisierung sorgt dafür, dass Befehle protokolliert und nach Rolle eingeschränkt werden.

Fazit

In einer Zeit, in der Netzwerkinfrastruktur zunehmend ins Visier gerät, ist die Absicherung des Zugriffs auf Ihre Switches, Router und Firewalls nicht verhandelbar.
Der Einsatz von TACACS+ für die Geräteauthentifizierung bringt:

• Zentrale Verwaltung der Zugangsdaten

• Fein abgestufte Autorisierung

• Belastbare Audits
  All das trägt zu einer deutlich sichereren und besser beherrschbaren Netzwerkumgebung bei.
  Einfache lokale Passwörter mögen in sehr kleinen Umgebungen genügen, sie skalieren aber nicht, ermöglichen keine angemessenen Audits und bergen unnötige Risiken.
  Für jede Organisation, die Netzwerksicherheit und Verantwortlichkeit ernst nimmt, ist TACACS+ die bessere Wahl.
  Mit diesem Schritt wechseln Sie von einem Modell nach dem Motto „Vertrauen und hoffen“ zu einem Modell aus Kontrolle, Transparenz und Resilienz.