¿Qué es TACACS+?
TACACS+ es un protocolo de autenticación, autorización y accounting utilizado principalmente para administrar de forma centralizada el acceso a dispositivos de red. Permite controlar el acceso administrativo a routers, switches, firewalls y otros equipos, incluyendo escenarios donde se necesita autorizar determinadas operaciones o comandos.
¿Qué es TACACS+?
TACACS+ es un protocolo AAA utilizado principalmente para centralizar la autenticación, autorización y registro de las actividades de usuarios que administran dispositivos de red.
A diferencia de RADIUS, TACACS+ está especialmente orientado a la administración de dispositivos y permite separar las funciones de autenticación, autorización y accounting, incluyendo escenarios de autorización detallada de comandos.
¿Cómo funciona TACACS+?
TACACS+ permite que los administradores de una red utilicen un servidor centralizado para comprobar identidades, decidir qué operaciones pueden realizar y registrar determinadas acciones.
Centraliza la autenticación
El dispositivo de red puede consultar un servidor TACACS+ para comprobar las credenciales del usuario que intenta iniciar una sesión administrativa.
Controla la autorización
Después de autenticar al usuario, el sistema puede determinar qué servicios, privilegios u operaciones están permitidos para esa identidad.
Registra la actividad
TACACS+ también contempla accounting para registrar información relacionada con las acciones realizadas durante las sesiones administrativas.
TACACS+ está pensado para administrar dispositivos de red
Su diseño resulta especialmente útil cuando una organización necesita centralizar el acceso administrativo a routers, switches, firewalls y otros equipos.
¿Quién eres?
El servidor participa en la comprobación de la identidad del administrador que intenta acceder al dispositivo de red.
¿Qué puedes hacer?
El sistema puede aplicar políticas que determinan qué operaciones o comandos puede ejecutar una determinada identidad.
¿Qué hiciste?
La infraestructura puede registrar información sobre las sesiones y las actividades realizadas en los dispositivos administrados.
Principales componentes de TACACS+
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| TACACS+ Client | Envía solicitudes al servidor TACACS+. | Router. | Puede ser un dispositivo de red administrado. |
| TACACS+ Server | Procesa autenticación, autorización y accounting. | Servidor centralizado de AAA. | Centraliza la administración de acceso. |
| Authentication | Comprueba la identidad. | Usuario y credenciales. | Determina quién intenta acceder. |
| Authorization | Determina las operaciones permitidas. | Comando de configuración. | Puede aplicar controles detallados. |
| Accounting | Registra información de las sesiones. | Inicio y cierre de sesión. | Facilita auditoría y seguimiento. |
¿Qué significa AAA en TACACS+?
AAA corresponde a Authentication, Authorization and Accounting: autenticación, autorización y accounting. TACACS+ fue concebido como un protocolo que separa estas tres funciones.
Authentication
La autenticación determina quién es el usuario que intenta iniciar sesión o utilizar una determinada función administrativa.
Authorization
La autorización determina qué servicios, privilegios o acciones puede realizar el usuario después de ser autenticado.
Accounting
El accounting registra información sobre las actividades y sesiones para facilitar tareas de auditoría, administración y seguimiento.
¿Cómo funciona la autenticación con TACACS+?
Cuando un administrador intenta acceder a un dispositivo de red, el dispositivo puede enviar al servidor TACACS+ una solicitud para comprobar la identidad del usuario.
Inicio de sesión
El administrador proporciona las credenciales solicitadas por el dispositivo y el proceso de autenticación comienza.
Servidor central
El servidor TACACS+ procesa la solicitud y puede utilizar la fuente de identidad configurada por la organización.
Resultado
El servidor devuelve una respuesta que permite al dispositivo determinar si la autenticación debe aceptarse, rechazarse o continuar según el método utilizado.
¿Qué es la autorización en TACACS+?
Una de las características más importantes de TACACS+ es la posibilidad de separar la autorización de la autenticación y aplicar controles específicos sobre las acciones que puede realizar un usuario.
Sesión administrativa
El servidor puede establecer qué condiciones se aplican a una sesión iniciada por un determinado usuario.
Comandos
TACACS+ permite utilizar autorización detallada para comandos individuales, una característica especialmente relevante en la administración de dispositivos de red.
Privilegios
Las políticas pueden utilizar información relacionada con la identidad y el servicio solicitado para determinar las operaciones permitidas.
¿Qué es accounting en TACACS+?
Accounting es la función encargada de registrar información sobre las actividades realizadas a través del protocolo. Puede utilizarse como mecanismo de auditoría de las acciones administrativas.
Inicio
Un registro de inicio puede indicar que una determinada sesión o servicio está comenzando.
Actualización
Las implementaciones pueden generar registros intermedios que indiquen que la sesión o actividad continúa.
Cierre
Un registro de detención puede señalar que la actividad o sesión ha terminado y proporcionar información correspondiente al período registrado.
¿Dónde se utiliza TACACS+?
TACACS+ se utiliza principalmente para administrar dispositivos de red desde una infraestructura centralizada de autenticación y autorización.
Routers
Los routers pueden utilizar TACACS+ para controlar el acceso administrativo de los operadores de red.
Switches
Los switches empresariales pueden consultar servidores TACACS+ para autenticar administradores y controlar sus privilegios.
Firewalls
Los firewalls y otros dispositivos de seguridad de red también pueden integrarse con servicios TACACS+ dependiendo del fabricante y de la configuración disponible.
¿Por qué TACACS+ es útil para autorizar comandos?
La separación de autenticación y autorización permite que una infraestructura determine no solamente quién puede iniciar sesión, sino también qué operaciones puede ejecutar durante una sesión administrativa.
Acceso a la consola
Un usuario puede autenticarse frente al dispositivo mediante un servidor TACACS+ centralizado.
Comandos permitidos
El servidor puede participar en la autorización de comandos específicos, de acuerdo con las políticas configuradas para el usuario.
Auditoría
La información registrada puede ayudar a determinar qué acciones fueron realizadas durante una sesión administrativa.
¿Qué puerto utiliza TACACS+?
El TACACS+ tradicional utiliza TCP 49 como puerto conocido para las conexiones no TLS.
TCP 49
El puerto TCP 49 está asociado con el funcionamiento tradicional de TACACS+ y debe considerarse al configurar la conectividad entre clientes y servidores.
Firewall
Las reglas de firewall deben permitir las comunicaciones necesarias entre los dispositivos de red y los servidores TACACS+ según la infraestructura implementada.
TACACS+ sobre TLS
La especificación RFC 9887 publicada en diciembre de 2025 define TACACS+ sobre TLS 1.3 para proteger la comunicación entre cliente y servidor. Esta modalidad actualiza el protocolo para utilizar un transporte con confidencialidad, integridad y autenticación mediante TLS.
¿TACACS+ es seguro?
La seguridad de TACACS+ depende de la modalidad utilizada y de la configuración de la infraestructura. El protocolo tradicional tiene mecanismos de protección que no deben confundirse con cifrado moderno de transporte.
TACACS+ tradicional
La especificación original de TACACS+ utiliza un mecanismo de ofuscación para determinados contenidos, pero la RFC 9887 señala limitaciones de seguridad en este modelo.
TACACS+ sobre TLS 1.3
RFC 9887 define el uso de TLS 1.3 para proporcionar confidencialidad, integridad y autenticación de la conexión entre los extremos TACACS+.
Configuración
La protección efectiva también depende de mantener seguros los servidores, dispositivos de red, credenciales, certificados y políticas administrativas.
¿Cuál es la diferencia entre TACACS+ y RADIUS?
TACACS+ y RADIUS son protocolos AAA, pero fueron diseñados con distintos enfoques. TACACS+ está especialmente orientado a la administración de dispositivos de red, mientras RADIUS tiene un uso muy extendido en acceso a redes y servicios como Wi-Fi y VPN.
TACACS+
Separa autenticación, autorización y accounting y permite controles detallados sobre operaciones administrativas y comandos.
RADIUS
Se utiliza ampliamente para centralizar la autenticación y autorización de usuarios que necesitan acceder a redes, VPN y otros servicios.
Enfoque
La elección de una tecnología depende del dispositivo, el servicio que se quiere proteger, los mecanismos compatibles y la arquitectura de identidad de la organización.
| Característica | TACACS+ | RADIUS |
|---|---|---|
| Enfoque principal | Administración de dispositivos de red. | Acceso a redes y servicios. |
| AAA | Autenticación, autorización y accounting separados. | Autenticación, autorización y accounting. |
| Autorización de comandos | Soporta autorización detallada. | Tiene un enfoque diferente de autorización. |
| Transporte tradicional | TCP. | UDP. |
| Ejemplo | Administración de routers y switches. | Wi-Fi empresarial o VPN. |
¿Qué relación existe entre TACACS+ y Active Directory?
TACACS+ puede integrarse con fuentes externas de identidad para autenticar usuarios, dependiendo de la implementación del servidor TACACS+ y de la infraestructura utilizada por la organización.
Active Directory
Active Directory puede actuar como fuente de identidades y grupos que una solución de autenticación puede utilizar para comprobar usuarios y aplicar políticas.
Servidor TACACS+
El servidor TACACS+ recibe las solicitudes de los dispositivos de red y aplica las políticas configuradas para los usuarios.
Administración centralizada
Esta integración puede permitir que las cuentas existentes de una organización se utilicen para controlar el acceso administrativo a diferentes dispositivos de red.
¿Cómo se controla el acceso con TACACS+?
El control de acceso se basa en políticas que determinan qué usuarios pueden autenticarse, qué operaciones pueden realizar y qué información debe registrarse.
Identidad
La política puede asociarse a una determinada cuenta o grupo de usuarios administrados por la organización.
Privilegios
Pueden establecerse diferentes niveles de acceso según las responsabilidades administrativas de cada usuario.
Comandos
En determinados dispositivos, TACACS+ puede utilizarse para autorizar comandos individuales, lo que permite un control más detallado de las operaciones administrativas.
¿Qué se necesita para implementar TACACS+?
Una infraestructura TACACS+ necesita dispositivos compatibles, uno o más servidores TACACS+ y políticas que definan cómo se gestionará la autenticación, autorización y accounting.
Cliente TACACS+
Debe configurarse cada dispositivo de red para comunicarse con los servidores TACACS+ correspondientes.
Servidor TACACS+
El servidor debe estar configurado para recibir solicitudes, validar identidades y aplicar las políticas administrativas.
Fuente de identidad
Dependiendo de la solución, el servidor puede utilizar cuentas locales u otra infraestructura de identidad para comprobar a los administradores.
Políticas de autorización
Deben definirse los privilegios y operaciones permitidas para cada identidad o grupo de usuarios.
TACACS+: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| TACACS+ | Protocolo AAA para administración de dispositivos. | Router empresarial. | Centralizar acceso administrativo. |
| Authentication | Comprobación de identidad. | Usuario administrador. | Determinar quién intenta acceder. |
| Authorization | Control de operaciones permitidas. | Comando de configuración. | Determinar qué puede hacer el usuario. |
| Accounting | Registro de actividad. | Inicio y cierre de sesión. | Facilitar auditoría. |
| TCP 49 | Puerto tradicional de TACACS+. | Cliente y servidor TACACS+. | Transportar conexiones TACACS+ tradicionales. |
Guías relacionadas sobre identidad y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre TACACS+
TACACS+ es un protocolo AAA utilizado principalmente para centralizar la autenticación, autorización y accounting de usuarios que administran dispositivos de red.
Sirve para controlar y centralizar el acceso administrativo a routers, switches, firewalls y otros dispositivos de red.
AAA significa Authentication, Authorization and Accounting: autenticación, autorización y registro de actividad.
Ambos son protocolos AAA, pero TACACS+ está especialmente orientado a la administración de dispositivos de red y permite una separación más detallada de autenticación, autorización y accounting.
TACACS+ tradicional utiliza TCP 49 como puerto conocido para las conexiones no TLS.
Sí. Una característica importante de TACACS+ es que puede utilizarse para autorización detallada de operaciones y comandos administrativos en dispositivos compatibles.
La seguridad depende de la modalidad y configuración. RFC 9887 define TACACS+ sobre TLS 1.3 para proporcionar protección moderna del transporte entre clientes y servidores.
Sí, dependiendo de la solución utilizada. Un servidor TACACS+ puede integrarse con fuentes externas de identidad para comprobar usuarios y aplicar políticas administrativas.
¿Qué es AAA?
Continúa aprendiendo sobre autenticación, autorización y accounting y comprende cómo se relacionan estas tres funciones dentro de una arquitectura de control de acceso.
Ver guía →