Defina com precisão o que cada operador pode fazer nos comutadores e routers. Autorização por comando, níveis de privilégio, palavras-passe enable e regras de consola — com accounting completo de comandos, para que cada configure e cada reload seja autorizado e registado numa conta real.

Cada dispositivo recebe um nome — Computer › Windows › Laptop, Mobile › iOS — com a confiança expressa em palavras e uma frase a explicar porque é que o nome para onde para. As pistas vêm de onde quer que o dispositivo fale: uma DHCP Probe passiva que nunca envia um byte; um scanner num coletor de site que escuta, varre o segmento, pergunta e — onde o permitir — corre o nmap, escolhido por zona e com o consentimento auditado; um inventário SNMP dos seus comutadores — modelo, número de série, software, portas, vizinhos LLDP/CDP e tabelas de encaminhamento, até à porta do comutador onde cada dispositivo está ligado; Web Probe para os seus próprios scripts; e o que o browser e o diretório já sabem. O que nenhuma regra explica vai, com honestidade, para uma lista de «não identificados» que pode entregar a um assistente de IA e rever em pré-visualização antes de qualquer alteração. Os grupos de dispositivos e a política atuam depois sobre o nome — uma VLAN para tudo o que está sob Windows. Ler o guia de descoberta →

Faça 802.1X baseado em certificados da forma como a sua rede já está estruturada. Confie em clientes EAP-TLS a partir da CA integrada do Taranac, de AD CS, ou de qualquer CA de terceiros — adicione quantas CAs de confiança e de AD forem necessárias. Também pode configurar várias raízes internas — por exemplo, uma CA separada para prestadores externos, para que revogar todo um grupo seja uma única ação. EST (RFC 7030) e publicação de CRL — prontos a usar, sem um produto de PKI separado.

Faça cópia de segurança, versione e compare com diff a running-config de cada dispositivo — capturada por SSH, Telnet, SCP/SFTP ou HTTPS, de forma agendada ou a pedido, desduplicada e fixada a uma baseline para que qualquer drift salte à vista. Como o Taranac já é o seu servidor AAA, cada alteração chega com quem iniciou sessão e que comandos executou — o diff e o responsável, lado a lado. E pode autenticar-se com uma palavra-passe just-in-time que ninguém chega a ver: gerada a cada recolha, 32 caracteres aleatórios, rotacionada no instante em que o trabalho termina. Guia de controlo de configurações →

Implemente o Taranac como um cluster de 2 a 4 nós sobre PostgreSQL replicado, gerido por si através de Patroni e etcd — um primary de leitura-escrita, os restantes réplicas em streaming. Como cada nó responde a TACACS+, RADIUS e 802.1X a partir da sua própria réplica local e cache, o data plane de autenticação não depende do primary: aponte os dispositivos para todos os nós e, se um deles falhar, o failover é automático — só as escritas de configuração pausam, por alguns segundos. Uma funcionalidade Pro, desbloqueada por uma licença de HA. Guia de HA →