承载在加密通道上的登录协议
300 对应 tacacss，规范是 RFC 9887，指的是把登录主机协议放到传输层加密之上的一种做法。传统做法里，网络设备统一把认证请求发到认证服务器的 49 端口，协议自身对部分字段做加密处理；而这个较新的登记则把整段会话放进标准加密通道，以适配对传输加密有明确要求的合规环境。多数存量设备仍只支持传统方式。
基本信息
| 服务 | tacacss（加密的登录主机协议） |
|---|---|
| 协议 | TCP 300 |
| 规范 | RFC 9887 |
| 所属体系 | TACACS 认证家族 |
| 配套端口 | 传统方式使用 49 |
典型使用场景
- 设备认证对接：为交换机与路由器配置到认证服务器的连接
- 合规改造：要求管理面全程加密时评估可用方案
- 兼容性核对：新设备与老服务器之间确认支持的端口
- 排障：登录失败时先确认设备配置指向的端口是否正确
- 策略规划：把认证端口纳入统一放行清单
两种承载方式
| 方式 | 端口 | 特点 |
|---|---|---|
| 传统承载 | 49 | 设备支持最广，字段级加密 |
| 加密通道承载 | 300 | 整段会话加密，设备支持有限 |
| 本地认证 | 不涉及网络端口 | 设备本地账号，无集中审计 |
核对方式
核对方式
# 服务器侧确认监听端口
ss -lntp | grep -E ':49 |:300 '
# 客户端设备侧：确认认证服务器地址与端口配置
# 华为设备：display current-configuration | include tacacs
# 思科设备：show running-config | include tacacs
# 从设备所在网段验证服务器端口可达
nc -zv auth.example.com 300设备侧的认证配置改动属于高风险操作：改错端口会导致管理员自己无法登录，只能靠带外方式恢复。变更前应保留一条可用的本地账号与可用会话，并准备好回退命令。
并非所有设备都支持新的加密承载方式，多数存量设备仍使用传统端口。规划时不要假设全量设备都能迁移，应先做版本与能力盘点，再决定分批实施的范围。
实施要点
- 先盘点设备对加密承载的支持情况
- 变更前保留本地账号与可用会话
- 在设备侧与服务器侧同步核对端口配置
- 切换后立即用新会话验证登录与审计记录