Cisco Catalyst 9200: Administratoren mit TACACS+ anmelden

Auf einen Blick

Gilt für	Cisco Catalyst 9200/9200L/9200CX mit IOS XE 17.15/17.18; TACACS+-Server z. B. Cisco ISE (Device Administration), tac_plus-ng oder Aruba ClearPass
Bereich	IT-Security
Dauer	ca. 1 Stunde inklusive Test, ohne Einrichtung des Servers
Rechte	Privileged EXEC (enable), Administrator am TACACS+-Server
Stand	Oktober 2026

Administratoren per TACACS+ am Cisco Catalyst 9200 anmelden bedeutet: Wer sich per SSH auf einen Switch verbindet, meldet sich mit seinem persönlichen Konto an einem zentralen Server an, statt mit einem lokalen Benutzer, dessen Passwort auf jedem Switch gepflegt werden muss. Der Server entscheidet außerdem, welche Befehle jemand ausführen darf (Autorisierung), und protokolliert jeden eingegebenen Befehl (Accounting). Dieser Artikel zeigt die AAA-Konfiguration unter IOS XE mit lokalem Notfallzugang, Befehlsautorisierung und Test.

TACACS+ auf dem Catalyst 9200: Der Administrator meldet sich per SSH am Switch an, der Switch fragt den TACACS+-Server über TCP-Port 49 nach Authentifizierung, Autorisierung jedes Befehls und schreibt Accounting-Einträge; ist kein Server erreichbar, greift der lokale Notfallbenutzer, die Konsole nutzt eine eigene lokale Methodenliste.

TACACS+ oder RADIUS?

Merkmal	TACACS+	RADIUS
Haupteinsatz	Anmeldung von Administratoren an Netzwerkgeräten	Netzwerkzugang von Benutzern und Geräten (802.1X, VPN, WLAN)
Transport	TCP, Port 49	UDP, Ports 1812/1813
Verschlüsselung	gesamter Paketinhalt	nur das Passwort-Attribut
Autorisierung	getrennt, pro Befehl möglich	zusammen mit der Anmeldung, keine Befehlskontrolle
Accounting	jeder eingegebene Befehl	Sitzungsbeginn und -ende

In der Praxis laufen beide parallel: RADIUS für 802.1X an den Access-Ports (siehe Cisco Catalyst 9200: 802.1X mit IBNS 2.0), TACACS+ für die Administration. Der Standard ist heute als RFC 8907 beschrieben.

Voraussetzungen

• Ein TACACS+-Server mit dem Switch als Netzwerkgerät und einem gemeinsamen Schlüssel. Bei Cisco ISE ist dafür die Lizenz Device Administration nötig.
• Auf dem Server: Gruppen für Administratoren (Privilege 15) und z. B. Helpdesk (eingeschränkte Befehle), angebunden an Active Directory.
• Ein lokaler Notfallbenutzer mit Privilege 15 und langem Passwort, das im Passwort-Tresor liegt.
• Grundkonfiguration mit SSH, siehe Cisco Catalyst 9200: Erstkonfiguration und Absicherung.

WarnungFalsche AAA-Befehle sperren Administratoren sofort aus. Während der gesamten Einrichtung eine zweite SSH-Sitzung offen lassen oder an der Konsole arbeiten und erst nach erfolgreichem Test speichern. Bei einem Fehler hilft reload in 15 vor Beginn: Der Switch startet dann ohne die ungespeicherten Änderungen neu, wenn er nicht mit reload cancel gestoppt wird.

Schritt 1: Notfallbenutzer und AAA einschalten

SW-OG-01# reload in 15
SW-OG-01# configure terminal
SW-OG-01(config)# username notfall privilege 15 algorithm-type scrypt secret <Langes-Notfall-Passwort>
SW-OG-01(config)# aaa new-model

Schritt 2: TACACS+-Server und Gruppe

SW-OG-01(config)# tacacs server TACACS-1
SW-OG-01(config-server-tacacs)# address ipv4 10.10.0.50
SW-OG-01(config-server-tacacs)# key <Gemeinsamer-Schluessel>
SW-OG-01(config-server-tacacs)# timeout 5
SW-OG-01(config-server-tacacs)# exit
SW-OG-01(config)# tacacs server TACACS-2
SW-OG-01(config-server-tacacs)# address ipv4 10.20.0.50
SW-OG-01(config-server-tacacs)# key <Gemeinsamer-Schluessel>
SW-OG-01(config-server-tacacs)# timeout 5
SW-OG-01(config-server-tacacs)# exit
SW-OG-01(config)# aaa group server tacacs+ TACACS-GRUPPE
SW-OG-01(config-sg-tacacs+)# server name TACACS-1
SW-OG-01(config-sg-tacacs+)# server name TACACS-2
SW-OG-01(config-sg-tacacs+)# ip tacacs source-interface Vlan99
SW-OG-01(config-sg-tacacs+)# exit

• Zwei Server an verschiedenen Standorten oder Hosts verhindern, dass ein Serverausfall alle Administratoren auf den Notfallbenutzer zwingt.
• Quellschnittstelle: Der Server kennt den Switch nur unter einer Adresse. ip tacacs source-interface legt fest, welche das ist – hier das Management-VLAN.
• Management-Port Gi0/0: Läuft der Verkehr über den Out-of-Band-Port, in der Gruppe zusätzlich ip vrf forwarding Mgmt-vrf setzen und ip tacacs source-interface GigabitEthernet0/0 verwenden.
• Den Schlüssel in der Konfiguration verschlüsselt ablegen: key config-key password-encrypt <Hauptschlüssel> und password encryption aes wandeln ihn in Typ 6 um.

Schritt 3: Methodenlisten für Anmeldung, Autorisierung und Accounting

SW-OG-01(config)# aaa authentication login default group TACACS-GRUPPE local
SW-OG-01(config)# aaa authentication login KONSOLE local
SW-OG-01(config)# aaa authorization exec default group TACACS-GRUPPE local if-authenticated
SW-OG-01(config)# aaa authorization commands 1 default group TACACS-GRUPPE local if-authenticated
SW-OG-01(config)# aaa authorization commands 15 default group TACACS-GRUPPE local if-authenticated
SW-OG-01(config)# aaa authorization config-commands
SW-OG-01(config)# aaa accounting exec default start-stop group TACACS-GRUPPE
SW-OG-01(config)# aaa accounting commands 1 default start-stop group TACACS-GRUPPE
SW-OG-01(config)# aaa accounting commands 15 default start-stop group TACACS-GRUPPE

Befehl	Wirkung
authentication login default … local	Anmeldung am TACACS+-Server; nur wenn kein Server antwortet, zählt der lokale Benutzer. Ein falsches Passwort führt nicht zum Rückfall.
authentication login KONSOLE local	eigene Liste für die Konsole: dort immer lokal anmelden, auch wenn das Netz ausgefallen ist
authorization exec	der Server liefert die Privilege-Stufe; Administratoren landen direkt im Modus #
authorization commands 1/15	jeder Befehl dieser Stufen wird vom Server freigegeben oder abgelehnt
if-authenticated	Rückfallebene: Ist kein Server erreichbar, darf ein angemeldeter Benutzer weiterarbeiten
authorization config-commands	auch Befehle im Konfigurationsmodus werden geprüft
accounting commands	jeder Befehl mit Benutzer, Zeit und Switch wird beim Server protokolliert

Schritt 4: Leitungen zuordnen

SW-OG-01(config)# line con 0
SW-OG-01(config-line)# login authentication KONSOLE
SW-OG-01(config-line)# exit
SW-OG-01(config)# line vty 0 15
SW-OG-01(config-line)# login authentication default
SW-OG-01(config-line)# transport input ssh
SW-OG-01(config-line)# exit
SW-OG-01(config)# ip http authentication aaa
SW-OG-01(config)# end

• Steht unter den Leitungen noch login local aus der Erstkonfiguration, wird es durch login authentication ersetzt.
• Befehle an der Konsole werden standardmäßig nicht autorisiert; dafür wäre aaa authorization console nötig. So bleibt die Konsole ein sicherer Notfallzugang.
• ip http authentication aaa ist nur relevant, wenn der HTTPS-Server z. B. für RESTCONF läuft – siehe Cisco Catalyst 9200: NETCONF und RESTCONF.

Schritt 5: Testen und speichern

SW-OG-01# test aaa group TACACS-GRUPPE <ad-benutzer> <passwort> legacy
SW-OG-01# show tacacs
SW-OG-01# show aaa servers

1. In einer neuen SSH-Sitzung mit dem persönlichen AD-Konto anmelden und prüfen, dass der Prompt direkt # zeigt.
2. Einen Befehl ausführen, der für die Rolle verboten ist (Helpdesk z. B. configure terminal): Erwartet wird Command authorization failed.
3. Im Protokoll des TACACS+-Servers Anmeldung und Befehle kontrollieren.
4. Läuft alles: reload cancel und write memory.
5. Notfall testen: Server vorübergehend sperren (z. B. Firewall-Regel) und mit dem Benutzer notfall anmelden.

show tacacs zeigt je Server die Zahl der Verbindungen, Fehler und Zeitüberschreitungen. Bleiben die Zähler bei null, prüfen: Erreichbarkeit von TCP 49 aus dem richtigen Netz, Quelladresse, Schlüssel und Eintrag des Switches am Server.

TACACS+ über TLS

Klassisches TACACS+ verschlüsselt mit dem gemeinsamen Schlüssel und einem veralteten Verfahren. Seit IOS XE 17.18.1 kann der 9200 TACACS+ zusätzlich in TLS (Standardport 2083) verpacken; dafür sind Zertifikate auf Switch und Server sowie die Prüfung der Server-Identität (tls match-server-identity) im tacacs server-Block nötig. Voraussetzung ist, dass der TACACS+-Server TLS unterstützt. Bis dahin gilt: TACACS+-Verkehr nur durch das Management-Netz führen.

Hinweise

• Unterschied zum 2960-X: Unter IOS 15 funktioniert die Konfiguration genauso; ältere Vorlagen mit tacacs-server host … key … sind unter IOS XE durch den Block tacacs server ersetzt.
• Privilege-Stufen: Die Rolle kommt vom Server (bei ISE: TACACS-Profil mit Default Privilege und Maximum Privilege; Befehlssätze für erlaubte Kommandos).
• Notfallbenutzer pflegen: Passwort regelmäßig wechseln und die Anmeldung mit notfall am Syslog-Server alarmieren – im Normalbetrieb darf sie nicht vorkommen.
• Automatisierung: Skripte und NETCONF/RESTCONF nutzen dieselben Methodenlisten. Für Servicekonten am TACACS+-Server Privilege 15 und eine passende Befehlsfreigabe vergeben.
• Bei zentraler Anmeldung, Rollenkonzept und Protokollierung für Ihre Netzwerkgeräte unterstützt Sie die Cybersecurity von m.a.x. it.

Siehe auch

• Cisco Catalyst 9200 – Überblick und alle Artikel der Reihe
• Cisco Catalyst 9200: Erstkonfiguration und Absicherung
• Cisco Catalyst 9200: 802.1X mit IBNS 2.0
• Cisco Catalyst 9200: NETCONF und RESTCONF
• RADIUS

Links und Quellen

• Cisco: Configuring TACACS+ (Catalyst 9200, IOS XE 17.18.x)
• Cybersecurity von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen