TACACS+ 与 49 端口
49 是 TACACS 与后继 TACACS+ 使用的端口（TCP）。TACACS+ 把报文整体加密并支持按命令授权，因此特别适合网络设备管理场景：不仅能判断谁能登录设备，还能限定某人在设备上可以执行哪些命令。相较之下 RADIUS 主要面向网络接入认证。TACACS 与 TACACS+ 虽然同用 49 端口，协议并不兼容，混配会直接导致认证失败。
基本信息
| 服务 | TACACS（RFC 1492）与 TACACS+ |
|---|---|
| 协议 | TCP |
| 用途 | 网络设备的认证、授权与计费，支持命令级授权 |
| 认证方式 | 共享密钥，报文整体加密 |
| 服务端实现 | 主流网络设备厂商的认证服务器与开源实现 |
| 安全等级 | 仅管理网可达 |
典型使用场景
- 网络设备统一登录：账号集中管理，人员变动时只改一处
- 命令级授权：只允许运维执行查看命令，禁用配置类命令
- 操作审计：记录谁在什么时间登录了哪台设备、执行了哪些命令
- 应急账号兜底：服务器不可达时保留本地账号并单独管控
- 合规要求：满足对关键网络设备操作留痕的规范
连通性与配置核对
连通性与配置核对
nc -vz tacacs.example.com 49 # 网络层连通性
ss -lntp | grep ':49 ' # 服务端确认监听与绑定地址
# 设备侧配置要点
# 指定认证服务器地址、共享密钥，并明确认证与授权都走该服务器
# 授权未启用时只能认证不能限制命令，属于常见配置缺口TACACS+ 与 RADIUS 的取舍
| 维度 | TACACS+ | RADIUS |
|---|---|---|
| 主要场景 | 设备管理登录与命令授权 | 网络接入认证与计费 |
| 传输 | TCP 49 | UDP 1812 与 1813 |
| 报文加密 | 整体加密 | 主要保护敏感字段 |
| 授权粒度 | 可按命令授权 | 以属性为主，命令粒度弱 |
| 计费 | 支持，偏向会话与命令记录 | 支持，偏向接入时长与流量 |
认证服务器只应对设备管理网开放并配置足够强的共享密钥；共享密钥泄露等同于设备控制权泄露。
必须设计断链兜底：认证服务器或管理网络故障时，如果没有可用的本地应急账号，连设备都登录不上；应急账号的口令要单独管理并在使用后立即回收。
授权配置不能漏：只配置认证而不启用授权，用户虽然要统一登录，但登录后仍可执行全部命令，命令级的管控目标就没有实现。