Votre switch mérite mieux que le mot de passe admin:admin

Dans l'environnement informatique en évolution rapide d'aujourd'hui, les périphériques réseau tels que les switchs, les routeurs et les pare-feu sont des infrastructures critiques.
Alors que beaucoup d'attention est accordée à l'accès des utilisateurs et des points de terminaison, les périphériques qui rendent possible la connectivité de base restent souvent protégés par des méthodes d'authentification faibles ou incohérentes.
C'est pourquoi l'adoption de Protocole TACACS+ pour l'authentification, l'autorisation et la comptabilité (AAA) est une étape importante dans la sécurisation de votre infrastructure réseau.

Fonctionnement de TACACS+

TACACS+ est un protocole conçu spécifiquement pour l'accès administratif aux périphériques réseau.
Voici un aperçu simplifié de son fonctionnement :

• Authentification :
  Un périphérique réseau (par exemple, un switch) agit comme un client TACACS+ et transmet les informations d'identification de connexion d'administrateur à un serveur TACACS+ central.

• Autorisation :
  Une fois authentifié, le serveur renvoie non seulement « oui/non », mais une politique détaillée des commandes que l’utilisateur est autorisé à exécuter (par exemple : show Commandes, config Commandes, enable mode, etc.).

• Comptabilité:
  Le serveur enregistre les actions exécutées par l'utilisateur, la durée de la session et les détails des commandes et des niveaux de privilèges.

Principales caractéristiques du protocole

Quelques détails clés au niveau du protocole qui distinguent TACACS+ :

• Utilisations TCP (port 49) pour une livraison fiable des paquets.

• Chiffre le toute la charge utile du paquet, pas seulement le champ mot de passe.

• Sépare Authentification, Autorisationet Comptabilité processus plutôt que de les combiner (comme cela se produit dans d'autres protocoles comme RADIUS).

Qu'est-ce que cela apporte en termes de sécurité?

Comparons deux scénarios :
Un simple switch utilisant un mot de passe local par rapport au même switch utilisant TACACS+.

Scénario A - Changer avec un mot de passe local

• Un seul mot de passe (ou identifiant partagé) est configuré sur la base de données locale des utilisateurs du switch.

• Chaque administrateur utilise les mêmes identifiants ou peut-être des identifiants uniques, mais toujours stockés localement.

• Aucune journalisation centrale dont l'utilisateur a fait ce changement.

• Si le switch est compromis (mot de passe divulgué, compte par défaut existe), un attaquant obtient l'accès complet de l'appareil.

• Si plusieurs appareils utilisent chacun des informations d'identification locales différentes, vous avez encore de nombreux magasins d'informations d'identification à gérer, à faire pivoter et à auditer.

Scénario B - Même switch, en utilisant TACACS+

• Le switch transmet l'authentification à un serveur central TACACS+.

• Les administrateurs se connectent avec informations d'identification uniques (peut-être lié à votre répertoire d'identité).

• Autorisation contrôle les commandes que chaque administrateur peut exécuter - par exemple, certains ne peuvent "afficher" que l'état, d'autres peuvent modifier la configuration.

• Toutes les actions (qui se sont connectés, quand, ce qu'ils ont fait) sont connecté en un seul endroit.

• Si un administrateur part, vous désactivez simplement son compte dans le répertoire central - il perd l'accès partout.

• Le secret partagé entre le switch et le serveur est sécurisé, et la configuration du périphérique devient uniforme et vérifiable.
  Résultat :
  L’approche TACACS+ réduit considérablement les risques. On évite l’étalement des pouvoirs, on améliore l’audit et on répond à la question « qui a fait quoi ».
  En revanche, le modèle de mot de passe local est fragile, difficile à auditer et facilement mal géré.

Exemple de configuration pour les switchs Aruba

Voici un exemple simple de la façon dont vous pouvez configurer un Aruba (AOS-CX) basculer pour utiliser TACACS+ pour l'accès administrateur.
Ajustez les détails (adresses IP, secrets, noms d'utilisateur) en fonction de votre environnement.

Configurer le serveur TACACS+

tacacs-server host <YOUR_TACACS_SERVER> key plaintext <YOUR_PASSWORD>

Configurer la politique AAA

aaa authentication login default group tacacs local aaa authorization commands default group tacacs local aaa accounting all-mgmt default start-stop group tacacs local

Configurer un utilisateur local pour l’accès de secours

Utilisé uniquement si le serveur TACACS+ est indisponible user admin group administrators password plaintext <YOUR_PASSWORD>

Explication

• Le switch contacte le serveur TACACS+ à l'aide de la clé ou du mot de passe configuré.

• La connexion administrateur essaie d'abord TACACS+ ; si elle est inaccessible, elle retombe sur la base de données locale.

• L'autorisation garantit que les commandes sont enregistrées et limitées par rôle.

Pour conclure

À une époque où l'infrastructure réseau est de plus en plus ciblée, la sécurisation de l'accès à vos switchs, routeurs et pare-feu non négociable.
Utilisation TACACS+ pour l'authentification d'appareil apporte:

• Gestion centralisée des titres de compétences

• Autorisation à grains fins

• Un audit robuste
  Tous contribuent à a Environnement réseau beaucoup plus sécurisé et gérable.
  Bien que de simples mots de passe locaux puissent suffire dans de très petites configurations, ils ne s'adaptent pas, ne fournissent pas un audit adéquat et encourent des risques inutiles.
  Pour toute organisation sérieuse en matière de sécurité et de responsabilité du réseau, TACACS+ est le meilleur choix.
  En faisant ce changement, vous passez d'un « Confiance mais espoir » Modèle à l'un des contrôle, visibilité et résilience.