Настройка взаимодействия с сервером TACACS+ EcoNAT Documentation / Настройка взаимодействия с сервером TACACS+
Настройка взаимодействия с сервером TACACS+ производится в ветке конфигурации system.tacacs. Можно настроить подключение к двум TACACS-серверам – основному server1 и резервному server2.
В таблице ниже дано описание параметров взаимодействия с сервером TACACS+.
| Группа параметров | Параметр | Описание |
|---|---|---|
| Общие | timeout | Период в секундах для попытки авторизации пользователя через основной сервер. Если в течение заданного периода авторизация через основной сервер не выполнена, то запрос авторизации будет направлен на резервный сервер. Примечание. Если до истечения данного периода поступит ICMP-сообщение о недоступности основного сервера (destination host unreachable), то сразу произойдёт переключение на резервный сервер |
| fallback { on | off } | Включение/выключение поиска пользователя в локальной базе в случае неудачной попытки авторизации через серверы TACACS+. По умолчанию включён | |
| accounting { on | off } | Включение/выключение аккаунтинга пользователей, авторизующихся по TACACS+. По умолчанию выключен Если accounting on и auth_cmd on, то при аккаунтинге будут учитываться только авторизованные команды CLI | |
| auth_cmd { on | off } | Включение/выключение авторизации через сервер TACACS+ каждой команды, вводимой в CLI EcoSGE. По умолчанию выключена | |
| service_type <type> | Тип сервиса. Должен совпадать с типом сервиса, указанным в конфигурации сервера. При выключенной авторизации команд CLI (auth_cmd off) данному параметру по умолчанию присвоено значение shell. При включенной авторизации команд CLI (auth_cmd on) данный параметр скрыт в конфигурации EcoSGE, а на сервер TACACS+ всегда передаётся значение shell. Однако в конфигурации сервера TACACS+ необходимо для группы задать service = exec. | |
| protocol <proto> | Протокол взаимодействия с сервером TACACS+. Должен совпадать с протоколом, указанным в конфигурации сервера. При включенной авторизации команд CLI (auth_cmd on) данный параметр скрыт в конфигурации EcoSGE, а на сервер TACACS+ всегда передаётся значение exec | |
server1 server2 | enable | disable | Использовать или нет подключение к серверу TACACS+ |
| server <IP address> | Адрес сервера TACACS+. Можно указать IPv4-адрес, IPv6-адрес или доменное имя | |
| secret <password> | Пароль для подключения к серверу TACACS+. Хранится в конфигурации в зашифрованном виде |
Пример настроек:
EcoSGE:system.tacacs# ls
timeout 5
fallback on
accounting on
auth_cmd off
service_type "shell"
protocol ""
server1
{
enable
server "fb00::2"
secret "3f024a93509581e777db9c4701a6a1492f30a38e7349199508467b626d4c1fa5"
}
server2
{
enable
server "192.168.7.2"
secret "3f024a93509581e780eeb803e93d63f3c194a8eccbfd3b5608467b626d4c1fa5"
}
Для просмотра информации о текущей сессии TACACS+ необходимо отправить команду show tacacs. Команда выводит информацию о текущей сессии и времени с момента последнего обращения к серверу TACACS+.
EcoSGE:> show tacacs
The current session is handled by TACACS server at 172.16.1.10:49
TACACS server was accessed 0 seconds ago