Графический интерфейс к демону tacacs — TacacsGUI

[@dmitryrf]

del

[@gurkin33]

Спасибо и прошу прощения, грамматика страдает. Буду исправляться.

[@evg_krsk]

Похоже, что вы переизобретаете NOC Project :-)

А так хотелось self-hosted фронт-энд для управленя tac_plus. Эх.

[@gurkin33]

Ничего не знал про NOC до этого дня. Действительно мощная штука. Но мой проект это и есть «self-hosted фронт-энд для управленя tac_plus», пусть не с полным функционалом (нет поддержки LDAP, PPP авторизации и т.п.), но с функцией авторизации пользователей и аккаунтингом эта штука справляется.
Вероятно, найдутся еще похожие проекты, я не против. Очень часто друзья и знакомые разворачивают мои идеи фразой: «ты делаешь велосипед». Так вот, теперь мое мнение такое — пусть даже это «велосипед», но в первую очередь это опыт для меня, и, может быть, я очень на это надеюсь, что «вот это» кому-нибудь пригодится.
Но мне очень интересно, что имеенно вы хотели бы видеть в «self-hosted фронт-энд для управленя tac_plus»?

[@GritsanY]

Почему пароли и ключи принимает только цифробуквенные? На устройствах Cisco поддерживается ввод специальных символов в ключе tacacs+ и паролях пользователей

[@gurkin33]

Очень хороший вопрос. В следующей версии планируется добавить специальные символы. Это я уже взял на заметку. Спасибо.

[@HunterXXI]

Уж очень узкоспециализированное направление. Я не проводил исследований и возможно ошибаюсь, но на мой взгляд, подавляющее большинство сетевых устройств не нуждается в гибком администрировании локальной базы пользователей, так как ими управляют 2-3 человека от силы.

Мы ушли от реализации tacacs или radius для работа с локальными устройствами. Сейчас пушим через Conf Manager локальные учетки на устройства с необходимыми привелегиями. Если учетка скомпроментировала себя — так же удаляем через Conf Manager.

P.S. Да я понимаю, что есть оборудование операторов связи, к которому могут иметь доступ десятки людей, но это еденичные случаи. А для тех.поддержки первого уровня есть общая учетка с правами «посмотреть состояние интерфейсов», но и этот подход мы стараемся не практиковать.

[@gurkin33]

Согласен с вами, это действительно узкоспециализированное направление. К счастью, этот проект не должен меня прокармливать. Была задача реализовать графическую настройку демона tacacs и добавить запланированные плюшки. Задачу я выполнил, но еще есть над чем поработать и решил поделиться своим проектом. Мы уже посмеялись с друзьями, что этот проект «убийца ACS». Я не делаю большие ставки на этот проект, мне просто хотелось сделать что-то красивое и удобное.

[@HunterXXI]

Ну если желаемое и действительное сошлось в единой точке, могу Вас только поздравить!
WEB GUI для всяких демонов и сервисов это хорошо — так можно и что-то весьма полезное изобрести :)

[@gurkin33]

Спасибо. Я действительно оцениваю этот проект, как хороший опыт.

[@djvnsk]

Вы молодец, интересно будет потестить.

[@gurkin33]

Спасибо. Тестирование — это неоценимая помощь проекту.

[@Schalker]

случайно наткнулся. И сразу понравилось. Буду тестировать. Надеюсь подойдет " под меня"
Имею на «Хозяйстве» 260 Cisco, с десяток Broadcom и под сотню Huawei Switch. «Хозяйство » очень динамичное, за месяц по несколько раз приходится по Switch-м «лазить».

Мне очень понравился Reporting, как раз «под меня». Мне важно быстро и просто прослеживать КТО / КОГДА / КАК Switch запорол. В политики Cisco ISE я своих техников не пускаю, вот они и приучились порты auth open открывать. Надо конечно иногда, вот только закрывать забывают.
@ Автору, я сегодня зарегистрировался. Мой рабочий e-mail — в регистрации

[@gurkin33]

Сергей, Добрый день!

Спасибо, очень приятно слышать, что вам понравилось. Как я понял, вы пользуетесь новой версией моего проекта. Я напишу о нем отдельную статью.

[@Schalker]

Первый опыт, " с лёту, не обдумавши".
Поднял сервер, добавил тестовый switch C-2960 в Device, сделал User.
Что-то пошло с User.-ом не так. Auth не проходит.
И тут понял, что и под локальным User-ом на Cisco не зайду. тестовый switch ждет ответа от сервера.
Пришлось останавливать сервер и чистить config на Cisco.
Поспешил так. Не подумал. Буду осторожнее.тем
пс. заранее извиняюсь за кривой язык. хотя русский и родной, но вот IT темы как-то так…

[@Schalker]

Запускаю в продуктив. lan-meister.blogspot.com/2018/11/tacacsgui.html#more

[@Schalker]

Вопрос автору:
Your api version: 0.9.47
Last availabel version: 0.9.55
tacacsgui.com/updates
Re-Installation Required! Новая инсталяция нужна?

[@gurkin33]

Добрый день!

Чтобы установить новые библиотеки нужна переустановка. Сама база остается не тронутой. Но! Между этими версиями был переделаны MAVIS модули, если вы используете LDAP настройки надо заново проверить и применить. (бесшовно не получилось, извините)

С Уважением, Алексей

[@Schalker]

Понятно, после Нового Года обновлюсь. Ежедневный Veeam Backup — моя защита.
LDAP я не использую. Меня версия 0.9.47 устраивает. Сотню Cisco Device уже поставил под tacacs, полет нормальный, а я довольный.

Интересный вопрос был задан в моем блоге: lan-meister.blogspot.com/2018/11/tacacsgui.html#more

[@gurkin33]

Добрый день. После Нового года появятся больше фитч. Очень рад, что вам понравилось.

Прочитал комментарий. Я понимаю его насторожённость. Я подумываю о платной поддержке, может это как-то исправит мнение о «левой» ova)) (в следующем году буду пробовать вкручивать oxidized)

[@Schalker]

наконец-то запустил Network Configuration Manager, который постоянно должен читать / писать Switch. User для NCM сделаю на tacacs. И безопасник не будет нервы трепать и отключить мгновенно можно.

По-моему хорошая связка получается tacacs / NCM

[@gurkin33]

Добрый день!

Согласен с вами, почитал о NCM, выглядит не плохо. Я постараюсь интегрировать Oxidized (не в ближайшем будущем), это что-то подобное, только бесплатно.

С Уважением, Алексей

[@Schalker]

Под нагрузкой.
первые 167 Cisco С-2960 работают «под контролем » TacacsGUI. В продуктиве используется Network Configuration Manager ( NCM ). Облегчающий жизнь «автомат». Его основная задача — собирать и сохранять конфиги Cisco. Для этого в TacacsGUI создан User для NCM, который и заходит на Cisco, читает и интентаризирует конфиги. Job инвентаризации запускается раз в сутки. И вот тогда TacacsGUI начинает «потеть».
Графики нагрузки

[@gurkin33]

Добрый день!

Ну что тут сказать, оптимизации проекта предела нет. Скорее всего запросы идут в течении нескольких секунд, в данный выполняется много задач — проходит аутентификация, пишется лог в файл, в базу, это нагружает процессор. Я вернусь к этому вопросу, если у меня найдутся средства для тестов :)

[@Schalker]

а я и не вижу необходимости оптимизации. Нормальная нагрузка, если учесть количество транзакций.

Отлично работает. Всем советую.

[@Schalker]

Увидел на обновленной странице проекта Supported Devices — Huawei. Удивлен. Huawei и Tacacs? Это интересно. У меня на хозяйстве развернута отдельная инфраструктура Huawei WiFi (будь она неладна). С сотню различных Huawei Switch, несколько WiFi Controller.

Я сам в конфиги Huawei не сильно, китайцы ( чтоб им икалось ) делали. Но попробывать можно. Какие Huawei Switch поддерживаются?

[@gurkin33]

Я вычитал, что некоторые Huawei коммутаторы поддерживаются и настройка tacacs сервера аналогична Cisco, а вот настройка самих девайсов отличается, нужно читать мануал. У меня под рукой такого нет, так что если будут примеры конфигурации, буду им рад.

[@Schalker]

" Не прошло и полгода " :)
отлично работает Huawei и Tacacs. Наконец то дошли руки.
Проверено на Huawei Switch: S5700-28P-PWR-LI-AC, S5700-28C-EI-24S,
S6700-24-EI

hwtacacs-server template server-tacacs
hwtacacs-server authentication 10.xx.xx.xx
hwtacacs-server authorization 10.xx.xx.xx
hwtacacs-server accounting 10.xx.xx.xx
hwtacacs-server shared-key cipher secret

ssh authentication-type default password

aaa
authentication-scheme default
authentication-mode local hwtacacs
authorization-scheme default
authorization-mode local hwtacacs
authorization-cmd 15 local hwtacacs
accounting-scheme default
accounting-mode hwtacacs
accounting start-fail online
domain default
authorization-scheme default
hwtacacs-server server-tacacs
domain default_admin
authorization-scheme default
hwtacacs-server server-tacacs

спасибо авторам.