D-Link DAS-3626 Manuale Utente

The   TACACS/XTACACS/TACACS+/RADIUS   commands   allow   users   to   secure   access   to   the   switch   using   the 
TACACS/XTACACS/TACACS+/RADIUS   protocols.   When   a   user   logs   in   to   the   switch   or   tries   to   access   the 
administrator   level   privilege,   he   or   she   is   prompted   for   a   password.   If   TACACS/XTACACS/TACACS+/RADIUS 
authentication is enabled on the switch, it will contact a TACACS/XTACACS/TACACS+/RADIUS server to verify the 
user. If the user is verified, he or she is granted access to the switch.

There are currently three versions of the TACACS security protocol, each a separate entity. The switch's software 
supports the following versions of TACACS:

TACACS  (Terminal   Access   Controller   Access   Control   System)   -   Provides   password   checking   and 
authentication,  and notification  of  user actions  for security purposes utilizing  via  one  or more  centralized 
TACACS servers, utilizing the UDP protocol for packet transmission.

Extended TACACS (XTACACS)  - An extension of the TACACS protocol with the ability to provide more 
types of authentication requests and more types of response codes than TACACS. This protocol also uses 
UDP to transmit packets.

TACACS+ (Terminal Access Controller Access Control System plus) - Provides detailed access control 
for authentication for network devices. TACACS+ is facilitated through Authentication commands via one or 
more centralized servers. The TACACS+ protocol encrypts all traffic between the switch and the TACACS+ 
daemon, using the TCP protocol to ensure reliable delivery

In   order   for   the   TACACS/XTACACS/TACACS+/RADIUS   security   function   to   work   properly,   a 
TACACS/XTACACS/TACACS+/RADIUS   server   must   be   configured   on   a   device   other   than   the   switch,   called   an 
Authentication   Server   Host   and   it   must   include   usernames   and   passwords   for   authentication.   When   the   user   is 
prompted   by   the   switch   to   enter   usernames   and   passwords   for   authentication,   the   switch   contacts   the 
TACACS/XTACACS/TACACS+/RADIUS server to verify, and the server will respond with one of three messages:

The server verifies the username and password, and the user is granted normal user privileges on the switch. 

The server will not accept the username and password and the user is denied access to the switch.

The server doesn't respond to the verification query. At this point, the switch receives the timeout from the 
server and then moves to the next method of verification configured in the method list.

The switch has four built-in Authentication Server Groups, one for each of the TACACS, XTACACS, TACACS+ and 
RADIUS protocols. These built-in Authentication Server Groups are used to authenticate users trying to access the 
switch.   The   users  will   set  Authentication   Server  Hosts  in   a  preferable  order   in   the   built-in   Authentication  Server 
Groups and when a user tries to gain access to the switch, the switch will ask the first Authentication Server Hosts for 
authentication. If no authentication is made, the second server host in the list will be queried, and so on. The built-in 
Authentication Server Groups can only have hosts that are running the specified protocol. For example, the TACACS 
Authentication Server Groups can only have TACACS Authentication Server Hosts.

The   administrator   for   the   switch   may  set   up   six   different   authentication   techniques  per  user-defined   method   list 
(TACACS/XTACACS/TACACS+/RADIUS/local/none) for authentication. These techniques will be listed in an order 
preferable,   and   defined   by   the   user   for   normal   user   authentication   on   the   switch,   and   may   contain   up   to   eight 
authentication techniques. When a user attempts to access the switch, the switch will select the first technique listed 
for authentication. If the first technique goes through its Authentication Server Hosts and no authentication is returned, 
the switch will then go to the next technique listed in the server group for authentication, until the authentication has 
been verified or denied, or the list is exhausted.

Please note that  when the user logins to the device successfully through TACACS/XTACACS/TACACS+server or 
none method, the “user” priviledge level is the only level assigned. If the user wants to get the administration privilege 
level, the user must use the “enable admin” command to promote his privilege level. However when the user logins to 
the device successfully through the RADIUS server or through the local method, 3 kinds of privilege levels can be 
assigned to the user and the user cannot use the “enable admin” command to promote to the admin privilege level. 

NOTE:  TACACS,   XTACACS   and   TACACS+   are   separate   entities   and   are   not 
compatible. The switch and the server must be configured exactly the same, using the 
same protocol. (For example, if the switch is set up for TACACS authentication, so must 
be the host server.)

113