Любой запрос доступа — TACACS+, RADIUS или 802.1X — проверяется по одному упорядоченному набору правил. Совпадение по кто, где, когда и источник; первое подходящее правило выигрывает и возвращает результат. Никакой настройки на каждой коробке и расхождений между протоколами — один источник правды и встроенный тестер, чтобы проверить запрос ещё до выката.

Аутентифицируйте каждое устройство на краю сети — EAP-TLS, PEAP, EAP-TTLS/TEAP или MAB для тех, кто не умеет 802.1X. Taranac возвращает нужные устройству VLAN, dACL или redirect и может сбросить активную сессию через CoA, как только меняется политика.

Делайте 802.1X по сертификатам так, как уже устроена ваша сеть. Доверяйте клиентам EAP-TLS из встроенного CA Taranac, из AD CS или из любого стороннего CA — добавляйте сколько нужно доверенных и AD-центров. Можно поднять и несколько внутренних корней — например отдельный CA для подрядчиков, чтобы отзыв всей группы был одним действием. EST (RFC 7030) и публикация CRL — из коробки, без отдельного PKI-продукта.

Резервируйте, версионируйте и сравнивайте running-config каждого устройства — Taranac забирает её по SSH, Telnet, SCP/SFTP или HTTPS по расписанию или по требованию, дедуплицирует и привязывает к baseline, чтобы drift бросался в глаза сразу. Поскольку Taranac и так ваш AAA-сервер, каждое изменение приходит вместе с тем, кто вошёл и какие команды выполнил — дифф и виновник бок о бок. А аутентифицироваться он может одноразовым паролем, которого никто никогда не видит: пароль создаётся под каждый сбор — 32 случайных символа — и сбрасывается ровно в тот момент, когда задача выполнена. Руководство по отслеживанию конфигураций →

Разверните Taranac как кластер из 2–4 узлов на реплицируемом PostgreSQL под управлением Patroni и etcd — один read-write primary, остальные — потоковые реплики. Каждый узел отвечает на TACACS+, RADIUS и 802.1X из своей локальной реплики и кэша, поэтому data plane аутентификации не зависит от primary: направьте устройства на все узлы, и при отказе одного из них failover произойдёт автоматически — приостановятся лишь записи конфигурации, на несколько секунд. Pro-возможность, активируется HA-лицензией. Руководство по HA →