Natürlich wollte ich die Möglichkeit haben, mich an meinem neuen Spielzeug mit meinem AD-User anzumelden. Generell ist das auch nicht schwer…
Zunächst wird die Software TACACS.net heruntergeladen. In meinem Fall habe ich sie auf meinem DC installiert.
Dies ist ganz einfach: Setup ausführen, den PSK eingeben und fertig.
Nun kommt der Teil, der etws mehr konzentration erfordert. Die Konfigurationsdateien, die im XML Format vorliegen, müssen angepasst werden.
Dies ist aber gut in der Doku beschrieben. Einfach in der authentication.xml die Zugangsdaten zum AD (ich habe einen Account dafür angelegt und nicht den DomänenAdministrator benutzt).
Dann in der authorization.xml angeben welche Rechte die Usergruppe (in meinem Fall NetworkOperations) auf den Switchen der Gruppe “INTERNAL” hat. Ich habe einfach
<Permit>.*</Permit>
angegeben, da ich keine unterscheidung nach Rechten brauche.
In der clients.xml habe ich die ClientGroup INTERNAL angepasst, da unser Netz nur 192.168.* und 10.* ist:
<ClientGroup Name=”INTERNAL”>
<Secret ClearText=”tacacs_PSK” DES=”"></Secret>
<Clients>
<Client>10.0.0.0/8</Client>
<Client>192.168.*</Client>
</Clients>
</ClientGroup>
Jetzt einmal den Tacacs.net Dienst durchstarten und wenn man sich nicht vertippt hat funktioniert alles. Sonst sind die LOG-Files sehr hilfreich!
Jetzt kommt der komplizierte Part: den Switch konfigurieren.
Am Ende sollte es so aussehen:

HP(config)#tacacs-server 192.168.2.4 tacacs_PSK
HP(config)#aaa authentication ssh login tacacs local
HP(config)#aaa authentication ssh enable local
HP(config)#aaa authentication console login local
HP(config)#aaa authentication console enable tacacs local
Den Telnetserver und das Webinterface habe ich deaktiviert.
HP(config)# no telnet-server
HP(config)# no web-management
Der SSH Login sieht jetzt so aus:



Fertig.
———————-
Dies ist nur eine Lösung, um das ganze sicherer zu machen kann man natürlich auch noch andere Variatonen der Authentifizierung wählen.