Resumo

  • RFC 9950 configura uma lista redundante de servidores TACACS+ e um tempo de espera por resposta antes de tentar outro servidor.
  • A ausência de resposta informa o limite daquela tentativa configurada; não resolve quem é confiável, que usuário foi aceito ou que permissão vale.

Um tempo de espera parece uma resposta negativa porque encerra uma tentativa. No modelo de RFC 9950, porém, o timeout tem uma tarefa mais específica: ele define quantos segundos o dispositivo aguardará a resposta de cada servidor TACACS+ antes de tentar outro. O valor padrão é cinco segundos, e a lista de servidores existe para redundância. O protocolo de configuração está dizendo como o cliente deve abandonar ou deslocar uma tentativa quando a resposta não chega em tempo útil. Não está dizendo por que ela não chegou.

Essa diferença importa em redes reais porque muitos elementos podem estar entre o cliente e a resposta: endereço ou nome de transporte, interface de origem, instância VRF, seleção de porta, estado TLS, disponibilidade de servidor e condições locais que o modelo não observa completamente. RFC 9950 permite descrever esses elementos, mas uma descrição não elimina sua variabilidade. Um timeout pode justificar investigação ou uma nova tentativa; ele não prova que o servidor recusou um usuário, que o cliente apontou para uma entidade ilegítima ou que uma autorização falhou.

A lista é redundante, não uma eleição de autoridade. Cada servidor tem nome, tipo de serviço, endereço, porta e escolha de segurança. O dispositivo pode selecionar uma direção de saída com source-ip ou source-interface, associar uma VRF e decidir se usa Single Connection Mode. Essas escolhas tornam o caminho futuro mais explícito e permitem revisão. Elas não transferem para o primeiro servidor que responde a autoridade de definir toda a política de acesso, nem convertem o segundo servidor em prova de equivalência de política.

O modelo também separa o domínio para SNI do endereço ou nome de host empregado na conexão subjacente. Assim, mesmo uma conexão TLS bem formada não deve ser resumida a “o destino autorizado respondeu”. RFC 9887 exige TLS 1.3 e autenticação mútua para TACACS+ sobre TLS; RFC 9950 oferece os campos para configurar identidades de cliente e autenticação de servidor. Essa camada pode estabelecer uma relação de pares para a conexão. A decisão de autorização sobre comandos e níveis de privilégio continua uma questão de serviço e política local.

Os contadores ajudam a manter a operação honesta se forem lidos como sinais limitados. RFC 9950 prevê conexões abertas, fechadas, abortadas, falhadas e expiradas; mensagens enviadas e recebidas; sessões e erros. Em Single Connection Mode, uma conexão TCP pode conter várias sessões. Logo, nem uma sequência de timeouts nem uma mudança na quantidade de sessões descreve, sozinha, a experiência de uma pessoa ou a causa de uma mudança de acesso.

O must do modelo resolve apenas uma inconsistência declarada: usar TACACS+ como método de autenticação requer que um servidor de autenticação esteja configurado. Ele não obriga o servidor a estar vivo, não decide a validade de suas credenciais e não substitui a política que será aplicada depois que a conexão tiver sido feita. Confundir essa coerência da configuração com uma garantia de operação é exatamente o atalho que um relatório confiável deve evitar.