Точно задавайте, что каждый оператор может делать на коммутаторах и маршрутизаторах. Покомандная авторизация, привилегированные уровни, enable-пароли и правила консоли — с полным учётом команд (accounting), так что каждый configure и каждый reload авторизован и записан на конкретную учётную запись.

Каждое устройство получает имя — Computer › Windows › Laptop, Mobile › iOS — с уверенностью, выраженной словами, и одной фразой о том, почему имя остановилось именно здесь. Сведения приходят отовсюду, где устройство подаёт голос: пассивный DHCP Probe, который не отправляет ни байта; сканер на коллекторе площадки — слушает, проходит по адресам, расспрашивает и там, где вы разрешили, запускает nmap: методы выбираются по зонам, согласие фиксируется в аудите; SNMP-инвентаризация коммутаторов — модель, серийный номер, прошивка, порты, соседи по LLDP/CDP и таблицы коммутации, вплоть до того, в какой порт какого коммутатора включено устройство; Web Probe к вашим собственным скриптам; и то, что уже знают браузер и каталог. Всё, что не объясняет ни одно правило, честно попадает в список «не определено» — его можно отдать ИИ-ассистенту и проверить результат в предпросмотре, прежде чем что-то изменится. А группы устройств и политики работают уже с именем — свой VLAN для всего, что под Windows. Руководство по обнаружению →

Делайте 802.1X по сертификатам так, как уже устроена ваша сеть. Доверяйте клиентам EAP-TLS из встроенного CA Taranac, из AD CS или из любого стороннего CA — добавляйте сколько нужно доверенных и AD-центров. Можно поднять и несколько внутренних корней — например отдельный CA для подрядчиков, чтобы отзыв всей группы был одним действием. EST (RFC 7030) и публикация CRL — из коробки, без отдельного PKI-продукта.

Резервируйте, версионируйте и сравнивайте running-config каждого устройства — Taranac забирает её по SSH, Telnet, SCP/SFTP или HTTPS по расписанию или по требованию, дедуплицирует и привязывает к baseline, чтобы drift бросался в глаза сразу. Поскольку Taranac и так ваш AAA-сервер, каждое изменение приходит вместе с тем, кто вошёл и какие команды выполнил — дифф и виновник бок о бок. А аутентифицироваться он может одноразовым паролем, которого никто никогда не видит: пароль создаётся под каждый сбор — 32 случайных символа — и сбрасывается ровно в тот момент, когда задача выполнена. Руководство по отслеживанию конфигураций →

Разверните Taranac как кластер из 2–4 узлов на реплицируемом PostgreSQL под управлением Patroni и etcd — один read-write primary, остальные — потоковые реплики. Каждый узел отвечает на TACACS+, RADIUS и 802.1X из своей локальной реплики и кэша, поэтому data plane аутентификации не зависит от primary: направьте устройства на все узлы, и при отказе одного из них failover произойдёт автоматически — приостановятся лишь записи конфигурации, на несколько секунд. Pro-возможность, активируется HA-лицензией. Руководство по HA →