TACACS+(Terminal Access Controller Access Control System)终端访问控制器访问控制系统。与我们IDsentrie的Radius协议相近。不过TACACS+用的是TCP协议，Radius用的是UDP,不知道各有什么优点和缺点呢。它们的重要作用就是3A。 所谓3A, 即Authentication认证,Authorization授权, Accounting计费. 在测试Radius时，我对authentication已经比较了解，但是对authorization还比较模糊,这次测试tacacs+,使我对authorization也开始了解了.授权简单的说就是给用户开放某些资源.

TACACS+介绍

　　我们目前支持EXEC 授权, 即给用户执行某些命令的权利, 在这里的命令就是我们的CLI command.我们可以详细的配置一个用户可以执行某些CLI command,不能执行某些CLI command.确实可以管理得非常严格.当每次执行command时都会到tacacs+ server上去进行授权.不过当我们允许用户配置某一项,而它的sub config中如果还有很多command,我们也许要逐项添加,也有点麻烦.但可以对命令和参数进行这么详细的管理,感觉还挺有用的,不用担心有的用户乱操作了.这个功能只限于CLI, 在web UI上是没有用的, 它的作用又显得不太重要了.

协议报文结构

　　包的内容都被加密了,不过在我们程序中又提供一个debug的功能,可以看到包的内容,这个倒是挺方便的. 　　____________________________________________________ 　　| 4 | 8 | 16 | 24 | 32 bit | 　　|_______|________|_____________|______________|________| 　　| Major | Minor | Packet type | Sequence no. | Flags | 　　|_______|________|_____________|______________|________| 　　| Session ID | 　　|___________________________________________________ | 　　| Length | 　　|___________________________________________________ | 　　| Encrypted Request or Reply | 　　|___________________________________________________ | 　　Major Version ― 主要 TACACS+ 版本号。 　　Minor Version ― 次要 TACACS+ 版本号。当需要维持后向兼容性时，允许修订 TACACS+ 协议。 　　Packet Type ― 可能值包括： 　　TAC_PLUS_AUTHEN： = 0x01 （认证）； 　　TAC_PLUS_AUTHOR：= 0x02 （授权）； 　　TAC_PLUS_ACCT：= 0x03 （计费）。 　　Sequence Number ― 当前会话中的数据包序列号。会话中的第一个 TACACS+ 数据包序列号必须为1，其后的每个数据包序列号逐次加1.因此客户机只发送奇序列号数据包，而 TACACS+ Daemon只发送偶序列号数据包. 　　Flags ― 该字段包括各种位图格式的标志（flag）. Flag 值表明数据包是否进行加密。 　　Session ID ― 该 TACACS+ 会话的 ID。 　　Length ― TACACS+ 数据包主体总长（不包括头部）. 　　TACACS+ 其实是一个全新的协议。TACACS+ 和 RADIUS 在现有网络里已经取代了早期的协议。TACACS+ 应用传输控制协议（TCP），而 RADIUS 使用用户数据报协议（UDP）。一些管理员推荐使用 TACACS+ 协议，因为 TCP 更可靠些。RADIUS 从用户角度结合了认证和授权，而 TACACS+ 分离了这两个操作