الخلاصة

  • يحدد RFC 9887 تفاوض TLS مباشرة بعد إنشاء TCP، وبحد أدنى TLS 1.3، ولا تُرسل TACACS+ إلا بوصفها بيانات تطبيق داخل TLS. لا يقبل خادم TLS اتصالات غير TLS، ولا يعود العميل إلى غير TLS عند فشل TLS.
  • المصادقة المتبادلة القائمة على الشهادات هي خط الأساس؛ إذ يتحقق كل طرف من مسار شهادة الطرف الآخر، بما في ذلك فحص الإبطال. ويمكن استخدام PSK أو المفتاح العام الخام RPK اختيارياً، مع إبقاء PSK الخاص بـ TLS منفصلاً عن أسرار تمويه TACACS+ القديمة.
  • يجب على الأقران الذين يعملون عبر TLS ضبط TAC_PLUS_UNENCRYPTED_FLAG على القيمة 1، لأن تمويه TACACS+ القديم لا يُستخدم مع TLS. يوفر TLS السرية والسلامة، ولذلك لا ينبغي اعتبار ذلك العلم دليلاً على غياب حماية النقل.
  • لا يجوز استخدام 0-RTT لبيانات TACACS+ بسبب خطر إعادة التشغيل. تذاكر الاستئناف أحادية الاستخدام، ويجب إعادة فحص الإبطال عند الاستئناف. عيّنت IANA منفذ TCP 300 واسم الخدمة tacacss، مع بقاء المنافذ البديلة ممكنة بعد نظر تشغيلي صريح.

يصف RFC 9887 مرحلة الترحيل التي تخلط TLS وغير TLS بأنها غير آمنة إلى أن تكتمل، وينبغي تقليل مدتها، كما ينبغي فصل خوادم غير TLS. لا يحول هذا التوجيه إلى شرط مطلق لأقصر مدة، ولا يجعل كل إجراء إداري تالٍ متطلباً معيارياً. فجرد الأجهزة والمسارات، وتعيين مالك القطع، وتحديد انتهاء الاستثناء، وإزالة قواعد الجدار الناري والمسارات، وحذف الأسرار القديمة، والاحتفاظ بدليل القطع هي تحليل Theo March وتوصيات تشغيلية، وليست متطلبات RFC مستقلة.

مسار عملي مستند إلى التحليل:

  1. اجرد الأجهزة والأهداف والعناوين والمنافذ والأسرار المستخدمة في كل مسار، وسجّل الأجهزة التي لا تستطيع الانتقال فوراً. لا تستنتج من ذلك نسبة دعم لدى المورّدين أو مدة ترحيل عامة.
  2. فعّل TLS مع التفاوض الفوري وTLS 1.3 أو أحدث، وشهادات متبادلة وفحص إبطال. إذا اختير PSK أو RPK فليكن الاختيار مقصوداً، ولتظل أسرار TLS منفصلة عن الأسرار القديمة. تحقق أيضاً من ضبط TAC_PLUS_UNENCRYPTED_FLAG=1 لكل نظير يعمل عبر TLS.
  3. اختبر أن فشل المصافحة ينتج فشلاً صريحاً ولا يغير الوجهة إلى غير TLS. اختبر رفض 0-RTT، واستخدام تذاكر الاستئناف مرة واحدة، وإعادة فحص الإبطال عند الاستئناف.
  4. أثناء المرحلة المختلطة، أبقِ الخوادم غير TLS منفصلة كما يصف RFC 9887، وقلّل مدة المزج. أما إيقاف الخوادم القديمة، وإزالة قواعد الجدار الناري والمسارات، وحذف الأسرار القديمة، وتحديد من يملك قرار القطع، وحفظ الدليل، فهي قرارات تشغيلية في تحليل Theo March وليست تعريفاً معيارياً إضافياً لاكتمال الترحيل.

حدود المصدر ضرورية: لا يثبت RFC 9887 تغطية تنفيذية حالية لدى المورّدين، ولا تبنياً إنتاجياً للمنفذ 300، ولا مدة ترحيل مرصودة أو حوادث خفض، ولا توافر سلطات الشهادات أو زمن فحص الإبطال في الشبكات المنشورة، ولا آثار أداء مقاسة لاستئناف TLS. كما لا يثبت نتائج نشر أو مطابقة مورّدين أو تاريخ حوادث أو قبولاً حالياً لدى المشغلين.

المصادر