Jede Zugriffsanfrage — TACACS+, RADIUS oder 802.1X — wird gegen ein einziges, geordnetes Regelwerk geprüft. Abgleich nach wer, wo, wann und Quelle; die erste passende Regel gewinnt und liefert das Ergebnis. Keine Konfiguration pro Gerät, keine Abweichungen zwischen Protokollen — eine Quelle der Wahrheit und ein eingebauter Tester, um eine Anfrage schon vor dem Rollout zu prüfen.

Authentifizieren Sie jedes Gerät am Netzwerkrand — EAP-TLS, PEAP, EAP-TTLS/TEAP oder MAB für alles, was kein 802.1X spricht. Taranac liefert das passende VLAN, dACL oder Redirect für jedes Endgerät und kann eine aktive Sitzung per CoA zurücksetzen, sobald sich die Policy ändert.

Setzen Sie zertifikatsbasiertes 802.1X so um, wie Ihr Netzwerk bereits funktioniert. Vertrauen Sie EAP-TLS-Clients aus der integrierten CA von Taranac, aus AD CS oder aus jeder beliebigen Dritt-CA — fügen Sie so viele vertrauenswürdige und AD-CAs hinzu, wie Sie brauchen. Sie können auch mehrere interne Root-CAs betreiben — etwa eine eigene CA für Auftragnehmer, damit sich eine ganze Gruppe mit einem einzigen Schritt widerrufen lässt. EST (RFC 7030) und die Veröffentlichung von CRLs sind von Haus aus dabei — ganz ohne separates PKI-Produkt.

Sichern, versionieren und vergleichen Sie die Running-Config jedes Geräts — erfasst über SSH, Telnet, SCP/SFTP oder HTTPS, nach Zeitplan oder auf Abruf, dedupliziert und an eine baseline gepinnt, sodass drift auf einen Blick auffällt. Da Taranac ohnehin Ihr AAA-Server ist, verrät jede Änderung sofort, wer sich angemeldet und welche Befehle er ausgeführt hat — die Änderung und ihr Verursacher, Seite an Seite. Und die Anmeldung erfolgt auf Wunsch mit einem Just-in-time-Passwort, das niemand je zu sehen bekommt: pro Erfassung erzeugt, 32 zufällige Zeichen, rotiert in dem Moment, in dem der Auftrag abgeschlossen ist. Leitfaden zum Config-Tracking →

Betreiben Sie Taranac als Cluster aus 2–4 Knoten auf replizierbarem PostgreSQL, verwaltet durch Patroni und etcd — ein read-write primary, die übrigen streamende replicas. Da jeder Knoten TACACS+, RADIUS und 802.1X aus seiner eigenen lokalen Replika und seinem Cache beantwortet, hängt die Authentifizierungs-Data-Plane nicht vom primary ab: Richten Sie Ihre Geräte auf alle Knoten, und fällt einer davon aus, läuft der Failover automatisch ab — nur Konfigurationsschreibvorgänge pausieren für ein paar Sekunden. Eine Pro-Funktion, freigeschaltet durch eine HA-Lizenz. HA-Leitfaden →