Tacacs+协议报文解密与全流程实战抓包解析

1. Tacacs+协议基础与抓包环境搭建

第一次接触Tacacs+协议时，我被它和Radius的相似性搞糊涂了。后来在实际项目中才发现，Tacacs+虽然同属AAA协议，但它的TCP连接特性和全加密机制让协议分析变得更有挑战性。我们先从最基础的抓包环境搭建说起，这是后续所有分析的前提。

要抓取Tacacs+流量，你得先确保网络设备和服务器的TCP 49端口通信正常。我习惯用Linux服务器搭建测试环境，这里以CentOS 7为例：

# 安装tacacs+服务端 yum install -y tac_plus # 修改配置文件指定监听端口 vi /etc/tac_plus/tac_plus.conf

关键配置项需要包含：

server = 0.0.0.0 { port = 49 key = "your_shared_secret" }

在交换机端配置时，新手常犯的错误是忘记开启single-connection模式。这个模式能显著提升性能，但需要设备支持。以华为设备为例：

hwtacacs scheme hwtac server authentication 192.168.1.100 49 server authorization 192.168.1.100 49 server accounting 192.168.1.100 49 key shared-key cipher YourPassword single-connection enable

Wireshark抓包前有个小技巧：先通过tcpdump预抓包确认流量走向。我常用这个命令：

tcpdump -i any port 49 -w tacacs.pcap

2. 报文解密的关键技巧

第一次看到加密的Tacacs+报文时，我盯着那一堆乱码发了半小时呆。后来才发现解密的关键就在共享密钥上。这里分享几个实战中总结的解密要点：

密钥配置必须完全一致。有次排查问题两小时，最后发现是服务器配置的密钥末尾多了个空格。现在我会用这个Python脚本验证密钥：

import hashlib print(hashlib.md5(b"your_key").hexdigest())

Wireshark解密操作有个隐藏技巧：新版Wireshark支持同时配置多个密钥。在Protocol Preferences里可以添加备选密钥，这对轮换密钥的环境特别有用。

解密失败的常见原因有：

• 时间不同步超过5分钟（Tacacs+会校验时间戳）
• 密钥包含特殊字符未转义
• 抓包节点不在加密终端之间（比如在负载均衡器后面）

我整理了个解密检查清单：

1. 确认抓包时间与设备时间误差在5分钟内
2. 检查密钥是否包含转义字符
3. 验证抓包点是否在Tacacs+客户端与服务端之间
4. 尝试用tcpdump重新抓包排除Wireshark兼容性问题

3. 认证阶段报文深度解析

认证流程看似简单，但报文交互暗藏玄机。我通过抓包发现不同厂商的实现细节差异很大。以最常见的ASCII认证为例：

认证请求报文里有个容易忽略的细节：password字段的加密方式。Cisco设备默认使用PAP加密，而华为会根据配置选择CHAP或PAP。这会导致同样的密码产生不同的加密结果。

典型的认证请求报文结构：

TACACS+ Authentication Start │ ├── Action: Login ├── Authen_type: ASCII ├── User: admin └── Data: encrypted_password

认证响应报文中的status字段值得重点关注：

• PASS：认证成功
• FAIL：认证失败
• GETDATA：需要额外信息（如二次认证）
• ERROR：服务器错误

有次遇到个诡异问题：认证总是失败但密码确认正确。后来抓包发现是设备把用户名转成了全小写，而服务器区分大小写。这就是为什么我总强调要实际看报文内容。

4. 授权阶段实战分析

授权阶段才是Tacacs+的精髓所在。当用户输入"display ip interface brief"时，完整的授权流程是这样的：

1. 设备发送Authorization Request：

TACACS+ Authorization Request │ ├── User: admin ├── Service: shell └── cmd-1: display cmd-2: ip cmd-3: interface cmd-4: brief

2. 服务器响应Authorization Response：

TACACS+ Authorization Response │ ├── Status: PASS_ADD └── Arg: priv-lvl=15

这里有个坑：不同厂商对命令的拆分规则不同。华为设备会把命令按空格分割，而Cisco可能把整个命令作为一个字符串发送。这直接影响服务器端的授权规则配置。

我建议在服务器配置中使用正则表达式匹配更可靠：

cmd = display ip interface brief { permit .* set priv-lvl = 15 }

5. 计费报文的隐藏信息

计费报文常被忽视，但它包含的运维黄金数据。比如这个计费请求：

TACACS+ Accounting Request │ ├── User: admin ├── Task_id: 12345 ├── Cmd: display ip interface brief └── Start_time: 2023-07-15T14:30:00+08:00

关键字段解析：

• elapsed_time：命令执行时长（排查性能问题）
• bytes_in/out：数据传输量（监控异常操作）
• disc_cause：断开原因（定位连接问题）

有次通过分析计费报文，我们发现某台设备每小时会异常断开连接。最终定位是设备固件bug导致的心跳超时。

6. 完整交互流程案例

以"system-view"命令为例，完整交互流程如下：

1. 认证阶段：

交换机 -> 服务器: Authentication Start (用户名+密码) 服务器 -> 交换机: Authentication Reply (PASS)

2. 授权阶段：

交换机 -> 服务器: Authorization Request (cmd=system-view) 服务器 -> 交换机: Authorization Reply (priv-lvl=15)

3. 计费阶段：

交换机 -> 服务器: Accounting Start (记录开始时间) 交换机 -> 服务器: Accounting Stop (记录结束时间)

这个流程中，华为设备有个特殊行为：进入system-view后会立即发送计费请求，而Cisco会等到退出时一并发送。

7. 高级调试技巧

遇到复杂问题时，我通常会结合多种工具分析：

1. 同时抓取服务器端日志和网络报文：

tail -f /var/log/tac_plus/access.log & tcpdump -i eth0 port 49 -w debug.pcap

2. 使用tshark命令行过滤特定报文：

tshark -r tacacs.pcap -Y "tacacs && tacacs.cmd==0x01"

3. 解码特定字段（比如解密密码）：

from tacacs_plus.encryption import TACACSPlusEncryption print(TACACSPlusEncryption.decrypt(encrypted_data, key))

有次排查权限问题时，发现服务器返回的priv-lvl被设备忽略。最终发现是设备固件存在字段解析bug，通过抓包才确认问题不在协议层面。