Porque su switch merece algo mejor que admin:admin

En el entorno informático actual, que evoluciona con rapidez, los equipos de red como switches, routers y firewalls son una infraestructura crítica.
Aunque se presta mucha atención al acceso de los usuarios y a los puestos de trabajo, los equipos que hacen posible la conectividad básica suelen seguir protegidos por métodos de autenticación débiles o incoherentes.
Por eso, adoptar el protocolo TACACS+ para la autenticación, la autorización y la contabilidad (AAA) supone un salto importante en la seguridad de su infraestructura de red.

Cómo funciona TACACS+

TACACS+ es un protocolo diseñado específicamente para el acceso administrativo a los equipos de red.
Este es un resumen simplificado de su funcionamiento:

• Autenticación:
  Un equipo de red (por ejemplo, un switch) actúa como cliente TACACS+ y reenvía las credenciales de inicio de sesión del administrador a un servidor TACACS+ central.

• Autorización:
  Una vez autenticado el usuario, el servidor no devuelve un simple «sí/no», sino una política detallada de los comandos que puede ejecutar (por ejemplo, comandos show, comandos config, modo enable, etc.).

• Contabilidad (accounting):
  El servidor registra las acciones que ejecuta el usuario, la duración de la sesión y el detalle de los comandos y niveles de privilegio.

Características clave del protocolo

Algunos detalles del protocolo que diferencian a TACACS+:

• Utiliza TCP (puerto 49) para una entrega fiable de los paquetes.

• Cifra toda la carga útil del paquete, no solo el campo de la contraseña.

• Separa los procesos de autenticación, autorización y contabilidad, en lugar de combinarlos (como ocurre en otros protocolos como RADIUS).

¿Qué aporta en materia de seguridad?

Comparemos dos escenarios:
un switch sencillo con una contraseña local frente al mismo switch con TACACS+.

Escenario A: switch con contraseña local

• Se configura una única contraseña (o una credencial compartida) en la base de datos de usuarios local del switch.

• Todos los administradores utilizan la misma credencial o, como mucho, credenciales únicas pero igualmente almacenadas en local.

• No hay ningún registro central de qué usuario hizo qué cambio.

• Si el switch se ve comprometido (contraseña filtrada, cuenta por defecto existente), un atacante obtiene acceso total al equipo.

• Si cada equipo utiliza credenciales locales distintas, sigue habiendo muchos almacenes de credenciales que gestionar, renovar y auditar.

Escenario B: el mismo switch, con TACACS+

• El switch reenvía la autenticación a un servidor TACACS+ central.

• Los administradores se conectan con credenciales únicas (que pueden estar vinculadas a su directorio de identidades).

• La autorización controla qué comandos puede ejecutar cada administrador: por ejemplo, unos solo pueden «ver» el estado y otros pueden cambiar la configuración.

• Todas las acciones (quién se conectó, cuándo y qué hizo) quedan registradas en un único lugar.

• Si un administrador se marcha, basta con desactivar su cuenta en el directorio central: pierde el acceso en todas partes.

• El secreto compartido entre el switch y el servidor está protegido, y la configuración de los equipos se vuelve uniforme y auditable.
  Resultado:
  El enfoque TACACS+ reduce considerablemente el riesgo. Se evita la proliferación de credenciales, mejora la auditoría y se responde a la pregunta «quién hizo qué».
  En cambio, el modelo de contraseña local es frágil, difícil de auditar y fácil de gestionar mal.

Ejemplo de configuración para switches Aruba

Este es un ejemplo sencillo de cómo configurar un switch Aruba (AOS-CX) para que utilice TACACS+ en el acceso de administración.
Adapte los detalles (direcciones IP, secretos, nombres de usuario) a su entorno.

Configurar el servidor TACACS+

tacacs-server host <YOUR_TACACS_SERVER> key plaintext <YOUR_PASSWORD>

Configurar la política AAA

aaa authentication login default group tacacs local aaa authorization commands default group tacacs local aaa accounting all-mgmt default start-stop group tacacs local

Configurar un usuario local (cuenta de emergencia)

Solo se utiliza si el servidor TACACS+ no está disponible user admin group administrators password plaintext <YOUR_PASSWORD>

Explicación

• El switch contacta con el servidor TACACS+ mediante la clave o contraseña configurada.

• El inicio de sesión de administración intenta primero TACACS+; si no está accesible, recurre a la base de datos local.

• La autorización garantiza que los comandos se registren y se restrinjan según el rol.

Reflexión final

En una época en la que la infraestructura de red es un objetivo cada vez más frecuente, proteger el acceso a sus switches, routers y firewalls no es negociable.
Utilizar TACACS+ para la autenticación de los equipos aporta:

• Gestión centralizada de las credenciales

• Autorización detallada

• Auditoría sólida
  Todo ello contribuye a un entorno de red mucho más seguro y manejable.
  Aunque unas contraseñas locales sencillas pueden bastar en instalaciones muy pequeñas, no escalan, no ofrecen una auditoría adecuada y conllevan riesgos innecesarios.
  Para cualquier organización que se tome en serio la seguridad de la red y la rendición de cuentas, TACACS+ es la mejor opción.
  Con este cambio, pasa de un modelo de «confiar y esperar» a uno de control, visibilidad y resiliencia.