在 Windows 上为 Eltex 网络设备设置 TACACS.NET | 指南

# 在 Windows 上部署 TACACS.NET 管理 Eltex 网络设备的实用指南

在 Windows 服务器上部署 TACACS.NET 可以实现对 Eltex 网络设备的集中访问控制。与过时的解决方案如 Cisco ACS 4.2 不同，这种现代实现提供了灵活的特权设置，并通过标准 TACACS+ 协议与设备集成。本文提供详细的服务器配置指南，包括绕过许可限制和为操作员与管理员细化访问权限。

TACACS.NET 配置架构

TACACS.NET 通过 XML 文件采用模块化配置方式，需要理解各组件之间的相互关联。主要配置文件：

• tacplus.xml — 全局服务器参数
• clients.xml — 网络设备客户端定义
• authentication.xml — 用户账户管理
• authorization.xml — 将访问权限绑定到角色

需要注意的是，与 Linux TACACS+ 实现不同（后者所有参数都在单个文件中），这里多个配置文件必须保持同步。这增加了初始设置的复杂性，但为管理复杂访问场景提供了灵活性。

启动前的关键参数

配置前需确定：

• 服务器网络接口和 IP 地址（例如 172.16.1.111）
• 设备交互的密钥（测试环境中推荐使用简单密钥）
• 角色结构：操作员（级别 9）和管理员（级别 15）
• 每个特权级别的可用命令列表

安装和初始设置

TACACS.NET 2.1.2 安装需要 Windows Server 2008 或更高版本。过程包括：

• 运行安装程序并接受默认参数
• 指定密钥（例如 12345678）
• 在 Windows 服务中检查服务状态

安装后，配置文件放置在隐藏目录 C:\ProgramData\TACACS.net 中。要编辑：

• 以管理员身份在记事本中打开文件
• 移除“只读”属性
• 以 UTF-8 编码保存更改

网络接口设置

在 tacplus.xml 文件中，将 <BindAddress> 参数更改为服务器本地 IP 地址：

<BindAddress>172.16.1.111</BindAddress>

这对与网络设备的正确交互至关重要。地址错误会导致服务启动失败，报错“Cannot bind to address”。

配置文件同步

关键挑战是跨文件对齐参数。使用以下方案：

• 在 clients.xml 中创建 INTERNAL 组并设置参数：

<ClientGroup name="INTERNAL">
  <Client address="172.16.1.0/24" key="12345678" />
</ClientGroup>

• 在 authentication.xml 中定义用户组：

<UserGroup name="OPERATOR">
  <User name="user9" password="password" />
</UserGroup>

<UserGroup name="ADMINISTRATOR">
  <User name="admin" password="GwJQb6xe9+C8Ysosigs5OQ==" />
</UserGroup>

• 在 authorization.xml 中将组绑定到特权级别：

<Authorization>
  <UserGroup name="OPERATOR">
    <AutoExec priv-lvl="9" />
  </UserGroup>
  <UserGroup name="ADMINISTRATOR">
    <AutoExec priv-lvl="15" />
  </UserGroup>
</Authorization>

配置测试

更改后执行：

• 通过 tacverify 进行语法检查
• 重启 TACACS.NET 服务
• 通过 tactest 测试连接

验证示例命令：

tactest -s 172.16.1.111 -k 12345678 -u user9 -author -p password

正确响应应包含：

Authorization Status=PassAdd
Args: priv-lvl=9

常见错误及修复

• 服务无法启动：检查 tacplus.xml 中的 IP 正确性，并确保用户部分未注释
• 特权级别不正确：验证 authorization.xml 和 authentication.xml 中的组同步
• 密码加密错误：使用 tacdes 实用工具生成 DES 哈希

与 Eltex 设备的集成

对于 ESR 路由器，应用以下配置：

privilege root level 9 "show running-config"
aaa authentication login default tacacs local
tacacs-server host 172.16.1.111 key ascii-text 12345678

对于 MES 交换机：

privilege exec 9 show running-config
privilege exec 10 configure
tacacs-server host 172.16.1.111 key 12345678
aaa authentication login authorization default tacacs local

重要提示：privilege exec 10 configure 命令将配置模式提升到 9 级以上，从而阻止操作员访问。

绕过许可限制

标准版本限制为 5 台设备和 3 个用户。要扩展限制：

• 使用官方工具生成许可文件
• 将文件放置在 C:\ProgramData\TACACS.net\license
• 重启服务

测试环境的替代方案：

• 在 clients.xml 中创建额外客户端组
• 使用一个 IP 地址但不同密钥
• 配置设备使用不同密钥

关键要点

• 密钥同步：clients.xml、设备设置和 tactest 命令中的密钥必须匹配
• 特权级别：Eltex 设备需要在配置中使用 privilege 明确指定命令
• tactest 验证：连接真实设备前必不可少的步骤
• 密码加密：使用 tacdes 安全存储凭据
• 日志记录：通过 C:\ProgramData\TACACS.net\Logs 中的文件进行故障排除

结论

在 Windows 上部署 TACACS.NET 为网络设备访问管理提供了灵活解决方案。成功的关键在于理解配置文件之间的相互关联，并使用内置实用工具严格验证每个设置。这种方法为认证和授权场景提供了可靠的测试环境，满足现代网络基础设施需求。

— Editorial Team