GUIA DE LABORATORIO: TACACS +

Ing. Enrique Javier Santiago, MsC, PhD

1. Posterior a la instalación se procede a configurar la Interface de red en CentOS7

Como se indica en la topología arriba.

2. Configurar una dirección IP así:

#ip address add 192.168.0.16/24 dev enp0s3

3. Configurar la puerta de enlace predeterminada asi:

#ip route add default via 192.168.0.15

4. Verificar que los parámetros IP estén correctamente configurados asi:

#ip addr show
#ip route show

5. Si se desea puede instalar net-tools asi:

#yum install net-tools

6. Instalar el utilitario WGET para descargar el RPM así:

#yum install wget

7. Instalar Perl a través del siguiente comando:

#yum install perl

8. Descargar el paquete tac_plus a través del siguiente comando:

#wget http://li.nux.ro/download/nux/misc/el7/x86_64//tac_plus-4.0.4.26-
1.el7.nux.x86_64.rpm

9. Instalar el paquete tac_plus versión 4.0 a través del siguiente comando:

#rpm -Uvh tac_plus-4.0.4.26-1.el7.nux.x86_64.rpm
10. Bajar el firewall del centOS asi:
#iptables -F

11. Inicia el servidor TACACS asi:

#service tac_plus start

12. Procedemos a editar archivo de configuracion de TACACS+

#vi /etc/tac_plus.conf

Luego dentro del archivo "tac_plus.conf" descomentar el parametro clave y asignar una
asi:

key = "cl4v3"

posteriormente crear 2 grupos (dentro del archivo de configuracion), uno llamado

“administradores” donde se le permita correr todos los comandos del router y otro grupo
llamado “limitado” donde se le permita los comandos show ip, show interface, comando
enable y exit todo lo demás esta denegado.

group = administradores {
default service = permit
}

group = limitado {
default service = deny
cmd = show {
permit ip
permit interface
deny .*
}

cmd = enable {
permit .*
}

cmd = exit {
permit .*
}
}

13. Luego crear 2 usuarios y los asociamos a un grupo (dentro del archivo de
configuracion), asi:
user = soporte {
login = cleartext m1cl4v3
member = administradores
}

user = manager {
login = cleartext m12345
member = limitado
}

Asignar la contraseña al usuario enable descomentando la linea "login" e ingresando una

clave:
user = $enab15$ {
login = cleartext Cl4v3Enable
}

14. Luego salvar y salir y posteriormente reiniciar el servicio:

#service tac_plus stop
#service tac_plus start -l

15. Luego pasar a la configuracion del router Cisco sobre el que se usara tacacs+, para esto
configure la ip de la interfaz fa0/0 con la ip 192.168.0.15/24, luego habilite aaa

Router(config)# aaa new-model

16. Especificamos el servidor TACACS+ y la llave anteriormente definida:

Router(config)# tacacs-server host 192.168.0.16

Router(config)# tacacs-server key cl4v3

17. Crear el usuario local que podrá acceder al equipo cuando el TACACS+ no esté
disponible, y de la misma forma la contraseña de enable, la cual también solo
funcionara cuando el TACACS no esté disponible:

Router(config)# username admin secret cisco123

Router(config)# enable secret 3n4bl3

 18. Crear un método de autenticación llamado access1 (Puede ser cualquier otro nombre)
el cual especifique que primero autentique contra el TACACS+ Server y en caso de que
este no este disponible que autentique de manera local.

Router(config)# aaa authentication login access1 group tacacs+ local

19. Para completar el proceso, configurar las lineas de consola y virtuales de manera tal que
utilicen el TACACS+ Server:

Router(config)# line con 0

Router(config-line)# login authentication access1

Router(config)# line vty 0 4

Router(config-line)# login authentication access1

20. Luego especificar que para la contraseña enable tambien autentique contra el
TACACS+ Server, y en caso de este no estar disponible que utilice la configurada para
el modo privilegiado a nivel local.

Router(config)# aaa authentication enable default group tacacs+ enable

21. Luego habilitar la autorización para el modo consola y los comandos de configuración,
y especificar que para los privileges level 1 y 15 funcionara la autorización bajo el
control de TACACS+ y que en caso de que este no esté disponible que permita
cualquier comando:

Router(config)# aaa authorization console

Router(config)# aaa authorization config-commands

Router(config)# aaa authorization commands 1 default group tacacs+ none

Router(config)# aaa authorization commands 15 default group tacacs+ none

22. Guardar la configuración y ya estará listo el router para autenticar contra TACACS+

Router(config)# end

Router#wr
23. Ver la asociación de usuarios del server tacacs+

#show aaa user all

#show tacacs