Définissez précisément ce que chaque opérateur peut faire sur vos commutateurs et routeurs. Autorisation par commande, niveaux de privilège, mots de passe enable et règles de console — avec un accounting complet des commandes, si bien que chaque configure et chaque reload est autorisé et journalisé sous une identité réelle.

Chaque équipement reçoit un nom — Computer › Windows › Laptop, Mobile › iOS — avec un niveau de confiance exprimé en mots et une phrase qui dit pourquoi le nom s’arrête là. Les indices viennent de partout où l’équipement parle : une DHCP Probe passive qui n’envoie pas un seul octet ; un scanner sur un collecteur de site qui écoute, balaie, interroge et — là où vous l’autorisez — lance nmap, choisi zone par zone, consentement journalisé ; un inventaire SNMP de vos commutateurs — modèle, numéro de série, logiciel, ports, voisins LLDP/CDP et tables de commutation, jusqu’au port précis sur lequel un équipement est branché ; Web Probe vers vos propres scripts ; et ce que le navigateur et l’annuaire savent déjà. Ce qu’aucune règle n’explique atterrit honnêtement dans une liste « non identifié » que vous pouvez confier à un assistant IA, avec un aperçu avant toute modification. Les groupes d’équipements et la politique agissent ensuite sur le nom — un VLAN pour tout ce qui relève de Windows. Lire le guide de la découverte →

Faites du 802.1X par certificat comme votre réseau fonctionne déjà. Faites confiance aux clients EAP-TLS émis par le CA intégré de Taranac, par AD CS, ou par n’importe quel CA tiers — ajoutez autant de CA de confiance et de CA AD que nécessaire. Vous pouvez aussi déployer plusieurs racines internes — par exemple un CA distinct pour les prestataires, afin que la révocation de tout un groupe se fasse en une seule action. EST (RFC 7030) et la publication de CRL sont intégrés — sans produit PKI séparé.

Sauvegardez, versionnez et comparez la configuration active de chaque équipement — capturée via SSH, Telnet, SCP/SFTP ou HTTPS, de façon planifiée ou à la demande, dédupliquée et rattachée à une baseline pour que le moindre drift saute aux yeux. Comme Taranac est déjà votre serveur AAA, chaque changement révèle qui s’est connecté et quelles commandes il a saisies — le diff et son auteur, côte à côte. Et il peut s’authentifier avec un mot de passe éphémère que personne ne voit jamais : généré pour chaque collecte, 32 caractères aléatoires, renouvelé à l’instant même où la tâche s’achève. Guide du suivi des configurations →

Déployez Taranac en cluster de 2 à 4 nœuds sur PostgreSQL répliqué, géré pour vous par Patroni et etcd — un primary en lecture-écriture, les autres en réplicas en streaming. Chaque nœud répond aux requêtes TACACS+, RADIUS et 802.1X depuis son propre réplica et cache locaux, si bien que le data plane d’authentification ne dépend jamais du primary : pointez vos équipements vers tous les nœuds, et en cas de panne de l’un d’eux, le failover est automatique — seules les écritures de configuration sont mises en pause, pendant quelques secondes. Une fonctionnalité Pro, débloquée par une licence HA. Guide de la haute disponibilité →