标签：
TACACS+（Terminal Access Controller Access Control System，终端访问控制器控制系统协议）是在TACACS协议的基础上进行了功能增强的安全协议。该协议与RADIUS协议的功能类似，采用客户端/服务器模式实现NAS与TACACS+服务器之间的通信。
TACACS+协议主要用于PPP和VPDN（Virtual Private Dial-up Network，虚拟私有拨号网络）接入用户及终端用户的AAA。AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。
认证：确认访问网络的远程用户的身份，判断访问者是否为合法的网络用户。
授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作。
计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。
下图是TACACS+协议的基本信息交互流程：
以Telnet用户认证过程为例，基本消息交互流程如下：
(1) Telnet用户请求登录设备。
(2) TACACS+客户端收到请求之后，向TACACS+服务器发送认证开始报文。
(3) TACACS+服务器发送认证回应报文，请求用户名。
(4) TACACS+客户端收到回应报文后，向用户询问用户名。
(5) 用户输入用户名。
(6) TACACS+客户端收到用户名后，向TACACS+服务器发送认证持续报文，其中包括了用户名。
(7) TACACS+服务器发送认证回应报文，请求登录密码。
(8) TACACS+客户端收到回应报文，向用户询问登录密码。
(9) 用户输入密码。
(10) TACACS+客户端收到登录密码后，向TACACS+服务器发送认证持续报文，其中包括了登录密码。
(11) TACACS+服务器发送认证回应报文，指示用户通过认证。
(12) TACACS+客户端向TACACS+服务器发送授权请求报文。
(13) TACACS+服务器发送授权回应报文，指示用户通过授权。
(14) TACACS+客户端收到授权回应成功报文，向用户输出设备的配置界面。
(15) TACACS+客户端向TACACS+服务器发送计费开始报文。
(16) TACACS+服务器发送计费回应报文，指示计费开始报文已经收到。
(17) 用户请求断开连接。
(18) TACACS+客户端向TACACS+服务器发送计费结束报文。
(19) TACACS+服务器发送计费结束报文，指示计费结束报文已经收到。
由2.1可知TACACS+共有7种类型的消息：
1、Authentication_START
2、Authentication_CONTIUNE
3、Authentication_REPLY
4、Authorization_REQUEST
5、Authorization_RESPONSE
6、Accounting_REQUEST
7、Accounting_REPLY
由于我们只关心认证流程所以只涉及到以上的1、2、3类型报文及TACACS+报文头，共计四中类型的报文，以下分别对其报文结构加以说明。
所有的TACACS+数据包都使用12字节长的包头，结构如下：
下面对各个字段分别进行说明：
1) Major：TACACS+主版本号，取值为0x0C
2) Minor：TACACS+次版本号，用于向后兼容扩展，一般为0。
3) Packet Type:定义包的类型，取值：
#define TAC_PLUS_AUTHEN 1 // authentication表示认证
#define TAC_PLUS_AUTHOR 2 // authorization表示授权
#define TAC_PLUS_ACCT 3 // accounting表示计费
4) Sequence No:当前会话中的数据包序列号。会话中的第一个TACACS+数据包序列号必须为1，其后的每个数据包序列号逐次加1。因此客户机只发送奇序列号数据包，而TACACS+ Daemon只发送偶序列号数据包。当序列号达到255时， 会话会重启并置回序列号为1。
5) Flags：用来示一些特殊条件，比如不加密（0x01），支持单连接多会话（0x04）等
6) Session_id：为TACACS+会话的ID，是个随机数。
7) Length：为TACACS+报文除头部之外的长度
TACACS+认证有三种类型数据包：开始(START)、继续(CONTINUE)和回复(REPLY)。客户端(client)发送START和CONTINUE数据包，服务端(daemon)发送REPLY数据包。
认证开始时，客户端发送一个START消息到服务端，该消息描述了要执行的身份验证类型，可能还包括用户名和一些认证数据。起始数据包仅作为TACACS+舍话开始或者会话重置后紧接着的第一个消息（会话重置可能是由服务端的回复包发起的）。起始数据包的序列号总是等于1。服务端发送一个REPLY包以响应START包。回复包表明认证是否结束或者继续。如果认证继续，则回复包将指明所需要的新的认证信息。客户端取出相关信息并以CONTINUE包的形式进行返回。服务端以REPLY包来回复START包或者CONTINUE包，直到客户端在CONTINUE包指示要中止，此时会话将立即中止。
1) Action:认证操作，合法值为：
TAC_PLUS_AUTHEN_LOGIN = Ox01 (甏录)
TAC PLUS ALTTHEN CHPASS=Ox02（修改密码）
TAC PLUS AUTHEN SENDPASS=Ox03（发送密码，已作废）
TAC PLUS AUTHEN SENDAUTH=Ox04（发送认证）
2) Priv lVl：认证权限级别，值域为0-15，可以在NAS客户端中设置，预设值为：
TAC PLUS PRIV LVL MAX=OxOf（最高级别）
TAC_PLUS_PRIV_LVL_ROOT=OxOf (ROOT用户级别)
TAC PLUS PRIV LVL USER=Ox01（普通用户级别）
TAC PLUS PRIV LVL MIN=Ox00（最低级别）
3) Authen_type:认证类型，合法值为：
TAC_PLUS_AUTHEN_TYPE_ASCII = Ox01 (ASCII值)
TAC_PLUS_AUTHEN_TYPE_PAP = Ox02 (PAP伤iX)
TAC_PLUS_AUTHEN_TYPE_CHAP = Ox03 (CHAP协iX)
TAC_PLUS_AUTHEN_TYPE_ARAP = Ox04 (ARAP协议)
TAC PLUS AUTHEN TYPE MSCHAP=Ox05（微软CHAP协议）
4) Service:认证服务，合法值为：
TAC_PLUS_AUTHEN_SVC_NONE = Ox00 c无服务 )
TAC_PLUS_AUTHEN_SVC_LOGIN = Ox01(登录)
TAC_PLUS_AUTHEN_SVC_ENABLE = Ox02 (enable服务)
TAC_PLUS_AUTHEN_SVC_PPP = Ox03 (PPP协议)
TAC_PLUS_AUTHEN_SVC_ARAP = Ox04 (ARAP协 iX)
TAC PLUS AUTHEN SVC PT=Ox05（负载类型）
TAC PLUS AUTHEN SVC RCMD=Ox06（远程命令）
TAC_PLUS_AUTHEN_SVC_X25 = Ox07 (x. 25协iX)
TAC_PLUS_AUTHEN_SVC_NASI = Ox08 (NASI服务)
TAC_PLUS_AUTHEN _SVC_FWPROXY=Ox09（防火墙代理）
其中ENABLE服务是指获得管理特权，类似于Linux系统中的“su”命令。NONE服务是在没有任何其它服务的情况下填写的。
5) User:用户名，可选值。
6) Port：客户端认证所使用的端口，由客户端指定。
7) Rem addr:远程地址，可选值，由客户端指定。
8) Data:负载数据。
1) Status:认证当前状态，合法值为：
TAC_PLUS_AUTHEN_STATUS_PASS = Ox01(通过)
TAC_PLUS_AUTHEN_STATUS_FAIL = Ox02 (失败)
TAC PLUS AUTHEN STATUS GETDATA=Ox03（获取数据）
TAC PLUS AUTHEN STATUS GETUSER=Ox04（获取用户名）
TAC PLUS AUTHEN STATUS GETPASS=Ox05（获取密码）
TAC PLUS AUTHEN STATUS RESTART=Ox06（重启会话）
TAC_PLUS_AUTHEN_STATUS_ERROR = Ox07(错误)
TAC_PLUS_AUTHEN_STATUS_FOLLOW = Ox21 (使用备用 deamon)
2) Flags:该字段包括各种位图格式的标志，定义值：
TAC PLUS REPLY FLAG NOECHO = Ox01应)
3) Server_msg:服务器返回给用户的提示信息，可选的。
4) Data:负载数据。
1) Flags:该字段包括各种位图格式的标志，定义值：
TAC PLUS CONTINUE FLAG ABORT = Ox01c中止)
2) User_msg:用户输入信息，用于答复Server_msg。
3) Data:负载数据。
Tacacs+认证协议支持ASCII值、PAP、CHAP、 ARAP协议、MS-CHAP等五种认证类型，现分别对其进行分析。
ASII认证类型在认证流程中共包含START报文、REPLY报文和CONTINUE报文，其中START报文中可以携带用户名信息也可以不携带（在continue中携带），具体流程如下：
图2-4-1-1 start报文不含用户信息认证流程
图2-4-1-2 start报文包含用户信息认证流程
PAP认证类型只包含一个START报文和一个REPLY报文，START报文必须包含用户名信息和密码信息，其中用户名信息存储在START报文的user字段，密码存储在START报文的data字段，数据信息不需加密，认证流程如下：
图2-4-2-1 PAP协议类型认证流程
CHAP认证类型只包含一个START报文和一个REPLY报文，START报文必须包含用户名信息和数据信息，其中用户名信息存储在START报文的user字段，数据存储在START报文的data字段，数据信息必须包含session_id、challenge和authentication。
session_id必须占用1个字节，authentication必须用16个字节，challenge长度等与data总长度减去session_id长度和认证信息长度，authentication是由session_id、用户密码和challenge通过MD5加密生成。具体认证流程如下：
图2-4-3-1 CHAP协议类型认证流程
|
session_id |
challenge |
authentication |
|
1 byte |
16 bytes,auth=MD5(se_id,usr_pwd,challenge) |
图2-4-3-2 START报文data字段数据结构
MS-CHAP认证类型只包含一个START报文和一个REPLY报文，START报文必须包含用户名信息和数据信息，其中用户名信息存储在START报文的user字段，数据存储在START报文的data字段，数据信息必须包含session_id、MS-challenge和MS-authentication。
session_id必须占用1个字节，authentication必须用49个字节，challenge长度等与data总长度减去session_id长度和authentication长度，认证信息是由用户密码、challenge等通过MD4和DES加密生成。具体认证流程如下：
图2-4-4-1 MS-CHAP协议类型认证流程
|
session_id |
challenge |
authentication |
|
1 byte |
49bytes |
图2-4-4-2 START报文data字段数据结构
|
MS-CHAPv1协议authentication组成 |
|
NTHASH=MD4(user_pwd) |
|
ChallengeResponse=DES(NTHASH[0-7]、challenge)||DES(NTHASH[7-14]、challenge)||DES(NTHASH[14-21]、challenge)；challenge一般为8字节 |
|
ChallengeResponse封装在authentication的[24-47]字节中,并且authentication最后一个字节（49字节）值为1 |
图2-4-4-3 MS-CHAPv1authentication组成
ARAP认证类型只包含一个START报文和一个REPLY报文，START报文必须包含用户名信息和数据信息，其中用户名信息存储在START报文的user字段，数据存储在START报文的data字段，数据信息必须包含ServerChallenge、ClientChallenge和authentication。
ServerChallenge、ClientChallenge和authentication都只占用8个字节，authentication是由用户密码作为DES_KEY对ServerChallenge和ClientChallenge进行DES加密生成。具体认证流程如下：
图2-4-5-1 ARAP协议认证流程
|
ServerChallenge |
ClientChallenge |
authentication |
|
8byte |
8字节 |
8bytes |
图2-4-5-2 START报文data字段数据结构
该类型暂未通过代码实现验证。
TACACS+支持除包头之外所有信息的加密，加密方法如下：
1) 将session_id、secret key, 版本号和sequence number一起进行MD5运算（其中secret key 为TACACS客户端和服务器之间的共享秘密），计算结果为MD5_1。
2) 后续的MD5运算将上次MD5运算的结果也纳入运算范围，如下：
MD5_1 = MD5{session_id, key, version, seq_no}
MD5_2 = MD5{session_id, key, version, seq_no, MD5_1}
....
MD5_n = MD5{session_id, key, version, seq_no, MD5_n-1}
3) 将所有的运算结果连接起来，直到总长度大于需要加密的数据的长度，然后截断到实际数据的长度，得到pseudo_pad：
pseudo_pad = {MD5_1 [,MD5_2 [ ... ,MD5_n]]} truncated to len(data)
4) 随后将需要加密的数据和上面的pseudo_pad进行XOR运算，得到密文：
ENCRYPTED {data} == data ^ pseudo_pad
由于TACACS+对整个数据包进行加密，私密性要好于RADIUS，窃听者无法根据报文的内容来猜测网络的配置和用户的身份。
硬件：Pentium IV 处理器， 1.8 GHz 或者更高
操作系统：Windows 2000 Server 、Windows Server 2003， Enterprise Edition or Standard
Edition (Service Pack 1)
内存：最小1GB
虚拟内存：最小1GB
硬盘空间：最小1GB可用空间，实际大小根据日志文件的增长，复制和备份的需求而定。
浏览器：Microsoft
Internet Explorer 6 或者更高版本
JAVA运行环境：Sun JRE 1.4.2_04 或更高版本
TACACS+服务器：安装cisco ACS
标签：
原文地址：http://www.cnblogs.com/wangliangblog/p/5198535.html
