Define con precisión qué puede hacer cada operador en tus switches y routers. Autorización por comando, niveles de privilegio, contraseñas enable y reglas de consola — con accounting completo de comandos, de modo que cada configure y cada reload queda autorizado y registrado contra una identidad concreta.

Cada dispositivo recibe un nombre — Computer › Windows › Laptop, Mobile › iOS — con su grado de confianza en palabras y una frase que explica por qué el nombre se detiene justo ahí. Las pistas llegan de dondequiera que el dispositivo hable: una DHCP Probe pasiva que no envía ni un byte; un escáner en un colector de sede que escucha, barre el segmento, pregunta y — donde tú lo permitas — lanza nmap, elegido por zona y con el consentimiento auditado; un inventario SNMP de tus switches — modelo, número de serie, software, puertos, vecinos LLDP/CDP y tablas de reenvío, hasta saber en qué puerto del switch está conectado cada dispositivo; Web Probe hacia tus propios scripts; y lo que ya saben el navegador y tu directorio. Lo que ninguna regla explica acaba, con honestidad, en una lista de «no identificados» que puedes pasar a un asistente de IA y revisar en vista previa antes de que cambie nada. Los grupos de dispositivos y la política actúan después sobre el nombre — una VLAN para todo lo que cuelga de Windows. Leer la guía de descubrimiento →

Haz 802.1X basado en certificados tal y como ya funciona tu red. Confía en los clientes EAP-TLS desde la CA integrada de Taranac, desde AD CS o desde cualquier CA de terceros — añade tantas CA de confianza y de AD como necesites. También puedes levantar varias raíces internas — por ejemplo, una CA aparte para contratistas, de modo que revocar todo un grupo sea una sola acción. EST (RFC 7030) y la publicación de CRL vienen incluidos de fábrica, sin un producto de PKI aparte.

Respalda, versiona y saca el diff de la running-config de cada equipo — capturada por SSH, Telnet, SCP/SFTP o HTTPS, programada o a demanda, deduplicada y anclada a una baseline para que el drift salte a la vista. Como Taranac ya es tu servidor AAA, cada cambio llega con quién inició sesión y qué comandos ejecutó — el diff y el responsable, lado a lado. Y puede autenticarse con una contraseña de un solo uso que nadie llega a ver: generada en cada recolección, 32 caracteres aleatorios, rotada en cuanto termina el trabajo. Guía de seguimiento de configuraciones →

Despliega Taranac como un clúster de 2 a 4 nodos sobre PostgreSQL replicado, gestionado por Patroni y etcd — un primary read-write, el resto son réplicas en streaming. Como cada nodo responde a TACACS+, RADIUS y 802.1X desde su propia réplica y caché locales, el data plane de autenticación no depende del primary: apunta tus dispositivos a todos los nodos, y si uno falla, el failover es automático — solo se pausan durante unos segundos las escrituras de configuración. Una funcionalidad Pro, que se desbloquea con una licencia HA. Guía de HA →