TACACS+ на Linux с аутентификацией через Active Directory

В сети присутствует множество различных гайдов на эту тему, но поднять сервис на Linux и связать его с Active Directory в течении 30-60 минут не удалось. Предлагаю свой путь решения задачи, с подробными комментариями.

Приступим к установке сервиса. В качестве ОСи используется CentOS.

Устанавливаем необходимые служебные пакеты

# yum install gcc
# yum install perl-LDAP
# yum install bind-utils

Все операции производим под «root»
(соответственно домашняя директория /root)

Установка Tac Plus

# yum install wget
# wget http://www.pro-bono-publico.de/projects/src/DEVEL.tar.bz2
# tar xvfj ./DEVEL.tar.bz2
# cd ./PROJECTS
# ./configure
# make
# make install

Добавляем директории для файлов аккаунтинга

# mkdir /var/log/tac_plus
# mkdir /var/log/tac_plus/access
# mkdir /var/log/tac_plus/acct
# chmod 760 -R /var/log/tac_plus/

Добавляем Tac Plus в автозагрузку

# cp /root/PROJECTS/tac_plus/extra/etc_init.d_tac_plus /etc/init.d/tac_plus
# chmod 755 /etc/init.d/tac_plus
# chkconfig --add tac_plus
# chkconfig --level 2345 tac_plus on

Проверка включения в автозагрузку

# chkconfig --list | grep tac_plus

Правим конфигурационный файл

# cp /root/PROJECTS/tac_plus/extra/tac_plus.cfg-ads /usr/local/etc/tac_plus.cfg
# chmod 660 /usr/local/etc/tac_plus.cfg

!!! После каждого изменения конфига сервис должен быть перезапущен (service tac_plus restart)
Пример рабочего конфигурационного файла (нужно заменить содержимое tac_plus.cfg, предварительно внеся коррективы в прокомментированные поля)

#!/usr/local/sbin/tac_plus
id = spawnd {
        listen = { port = 49 } #порт, используемый сервисом TACACS
        spawn = {
                instances min = 1
                instances max = 10
        }
        background = yes
}

id = tac_plus {
		# лог файлы
        access log = ">/var/log/tac_plus/access/%Y%m%d.log"
        accounting log = ">/var/log/tac_plus/acct/%Y%m%d.log"
		
		# блок настройки подключения к Active Directory
        mavis module = external {
                setenv LDAP_SERVER_TYPE = "microsoft"
                setenv LDAP_HOSTS = "ldaps://domain.name:636" # имя домена должно разрешаться DNS-сервером (проверить с помощью nslookup). Вместо имени можно использовать IP адрес
                setenv LDAP_SCOPE = sub
                setenv LDAP_BASE = "dc=domain,dc=name" # где искать пользователей
                setenv LDAP_FILTER = "(&(objectclass=user)(sAMAccountName=%s))"
                setenv LDAP_USER = "aduser@domain.name" # служебный юзер для интеграции с AD
                setenv LDAP_PASSWD = "passw0rd" # пароль юзера
                #setenv AD_GROUP_PREFIX = tacacs
                #setenv REQUIRE_TACACS_GROUP_PREFIX = 1
                #setenv USE_TLS = 0
                setenv FLAG_USE_MEMBEROF = 1
                exec = /usr/local/lib/mavis/mavis_tacplus_ldap.pl
        }

        login backend = mavis
        user backend = mavis
        #pap backend = mavis

        host = world {
                address = ::/0
                welcome banner = ""
                #Crypt password generate by "openssl passwd -1 clear_text_password"
                enable 15 = crypt $1$eqIkg6p0$jzhK5.
                key = "TACACSPASSWORD" #пароль для связки с TACACS-клиентом
        }
		# группу администрирования наделяем правами суперадмина
        group = ADMIN {
            message = "[Admin privileges]"
            default service = permit
            service = shell {
                default command = permit
                default attribute = permit
                set priv-lvl = 15
            }
        }
		# группе голосовых админов даем полный набор привелегий и запрещаем конкретные команды
        group = VOIP {
            message = "[VoIP-admin privileges]"
            default service = permit
            service = shell {
                default command = permit
                default attribute = permit
                set priv-lvl = 15
                cmd = interface {
                    permit "Lo*"
                    permit "Se*"
                    deny .*
                }
                cmd = aaa { deny .* }
                cmd = username { deny .* }
                cmd = line { deny .* }
                cmd = delete { deny .* }
                #cmd = reload { deny .* }
                cmd = boot { deny .* }
                cmd = enable { deny .* }
                cmd = archive { deny .* }
                cmd = router { deny .* }
                cmd = ip {
                    permit "address *"
                    deny .*
                }
                cmd = tacacs-server { deny .* }
                cmd = radius-server { deny .* }
                cmd = privilege { deny .* }
                cmd = erase { deny .* }
                cmd = write {
                    permit "memory"
                    deny .*
                }
                cmd = format { deny .* }
            }
        }
}

Проверяем правильность конфига (если все ОК, то ничего не выведет)

# /usr/local/sbin/tac_plus -P /usr/local/etc/tac_plus.cfg

Создаем группы в AD
В Active Directory необходимо создать 2 группы (исходя из нашего конфига): tacacsadmin и tacacsvoip.
Tac Plus отрезает префикс «tacacs» при соотношении группы, указанной в AD, группе в конфиге и переводит оставшиеся символы в верхний регистр.
Таким образом tacacsadmin соответвствует ADMIN, а tacacsvoip соответствует VOIP (изменить данное поведение можно поигравшись атрибутами: AD_GROUP_PREFIX и REQUIRE_TACACS_GROUP_PREFIX в конфиге).
Группы указаны в конфиге большими буквами не случайно!
Добавляем пользователей в созданные группы.

Запуск и остановка сервиса TACACS

# service tac_plus start
# service tac_plus stop
# service tac_plus restart

Конфигурация сервиса AAA на оборудовании Cisco

tacacs server TACSRV1
	!IP-адрес tacacs-сервера
	address ipv4 172.16.2.2
	!ключ должен совпадать с тем, что указан в конфиге на сервере
	key TACACSPASSWORD
	timeout 2
!
aaa new-model
aaa group server tacacs+ TACSERVICE
	server name TACSRV1
aaa authentication login default group TACSERVICE local
aaa authentication login CONSOLE local
aaa authentication enable default group TACSERVICE enable
aaa authorization config-commands
aaa authorization exec default group TACSERVICE local
aaa authorization exec CONSOLE local
aaa authorization commands 15 default group TACSERVICE local
aaa accounting commands 15 default start-stop group TACSERVICE
!
line con 0
	login authentication CONSOLE
line vty 0 15

Методика дебага
1. Проверка работы модулей LDAP (должно вернуть пустую строку без ошибок). Ошибки в случае не установленного пакета perl-LDAP.

# env LDAP_HOSTS="172.16.1.1" LDAP_SERVER_TYPE="microsoft" /usr/local/lib/mavis/mavis_tacplus_ldap.pl
2. Проверка связки TACACS - LDAP. Должно вернуть в поле RESULT - ACK. В случае ошибки проверить блок конфига, ответственный за интеграцию с AD.
<source lang="bash">
# /usr/local/bin/mavistest /usr/local/etc/tac_plus.cfg tac_plus TACPLUS <login> <password>

3. Проверка, что сервис запущен и слушает порт tcp 49

# netstat -nlp | grep tac_plus

4. Для того, чтобы увидеть обращения к сервису

# tcpdump -nn port 49

5. Дебаг запросов обрабатываемых сервисом

# /usr/local/sbin/tac_plus -d 4088 -fp /var/run/tac_plus.pid /usr/local/etc/tac_plus.cfg

Благодарю за внимание!

Источники информации и вспомогательные ссылки:
http://packetroute.wordpress.com/2012/12/12/tacacs-ad-centos-free/
http://www.pro-bono-publico.de/projects/howto-tac_plus-ads.html
http://habrahabr.ru/post/194750/