Legen Sie exakt fest, was jeder Operator auf Ihren Switches und Routern darf. Befehlsweise Autorisierung, Privilegstufen, Enable-Passwörter und Konsolenregeln — mit vollständigem Command Accounting, sodass jedes configure und jedes reload autorisiert und einer konkreten Identität zugeordnet protokolliert wird.

Jedes Endgerät bekommt einen Namen — Computer › Windows › Laptop, Mobile › iOS — mit einer Konfidenz in Worten und einem Satz dazu, warum der Name genau dort endet. Die Hinweise kommen von überall, wo ein Gerät spricht: eine passive DHCP Probe, die kein einziges Byte sendet; ein Scanner auf einem Standort-Collector, der zuhört, das Segment absucht, nachfragt und — wo Sie es erlauben — nmap einsetzt, pro Zone gewählt und die Zustimmung auditiert; ein SNMP-Inventar Ihrer Switches mit Modell, Seriennummer, Software, Ports, LLDP/CDP-Nachbarn und Forwarding-Tabellen — bis hin zu dem Switch-Port, an dem ein Gerät tatsächlich steckt; Web Probe zu Ihren eigenen Skripten; dazu, was Browser und Verzeichnis ohnehin wissen. Was keine Regel erklärt, landet ehrlich auf einer Arbeitsliste „nicht identifiziert“, die Sie einem KI-Assistenten übergeben und vor jeder Änderung in der Vorschau prüfen. Endpunktgruppen und Policy handeln dann nach dem Namen — ein VLAN für alles unter Windows. Discovery-Leitfaden →

Setzen Sie zertifikatsbasiertes 802.1X so um, wie Ihr Netzwerk bereits funktioniert. Vertrauen Sie EAP-TLS-Clients aus der integrierten CA von Taranac, aus AD CS oder aus jeder beliebigen Dritt-CA — fügen Sie so viele vertrauenswürdige und AD-CAs hinzu, wie Sie brauchen. Sie können auch mehrere interne Root-CAs betreiben — etwa eine eigene CA für Auftragnehmer, damit sich eine ganze Gruppe mit einem einzigen Schritt widerrufen lässt. EST (RFC 7030) und die Veröffentlichung von CRLs sind von Haus aus dabei — ganz ohne separates PKI-Produkt.

Sichern, versionieren und vergleichen Sie die Running-Config jedes Geräts — erfasst über SSH, Telnet, SCP/SFTP oder HTTPS, nach Zeitplan oder auf Abruf, dedupliziert und an eine baseline gepinnt, sodass drift auf einen Blick auffällt. Da Taranac ohnehin Ihr AAA-Server ist, verrät jede Änderung sofort, wer sich angemeldet und welche Befehle er ausgeführt hat — die Änderung und ihr Verursacher, Seite an Seite. Und die Anmeldung erfolgt auf Wunsch mit einem Just-in-time-Passwort, das niemand je zu sehen bekommt: pro Erfassung erzeugt, 32 zufällige Zeichen, rotiert in dem Moment, in dem der Auftrag abgeschlossen ist. Leitfaden zum Config-Tracking →

Betreiben Sie Taranac als Cluster aus 2–4 Knoten auf replizierbarem PostgreSQL, verwaltet durch Patroni und etcd — ein read-write primary, die übrigen streamende replicas. Da jeder Knoten TACACS+, RADIUS und 802.1X aus seiner eigenen lokalen Replika und seinem Cache beantwortet, hängt die Authentifizierungs-Data-Plane nicht vom primary ab: Richten Sie Ihre Geräte auf alle Knoten, und fällt einer davon aus, läuft der Failover automatisch ab — nur Konfigurationsschreibvorgänge pausieren für ein paar Sekunden. Eine Pro-Funktion, freigeschaltet durch eine HA-Lizenz. HA-Leitfaden →