tacacs-ds 是什么
65 号 TCP/UDP 的 IANA 登记名是 tacacs-ds，全称 TACACS-Database Service，登记人为 Kathy Huber，规范出自 RFC 1492。原始 TACACS 把认证与数据库查询分成不同环节，65 负责其中的数据库服务部分；后来的 TACACS+ 把这套能力重构成单端口协议，走 TCP 49，也让 AAA 的实现变得更集中。
基本信息
| 服务名 | tacacs-ds（TACACS-Database Service） |
|---|---|
| 端口 | 65（TCP 与 UDP 同名登记） |
| 规范 | RFC 1492 |
| 后继方案 | TACACS+（TCP 49），把认证、授权、计费合并 |
| 现状 | 已被 TACACS+ 与 RADIUS 取代 |
典型使用场景
- 网络设备 AAA 排障：登录设备时认证失败，需要区分是设备配置还是 AAA 服务器问题
- 审计核查：确认管理登录是否集中到 AAA 服务器并留存记录
- 老平台迁移：把原始 TACACS 相关组件替换为受支持方案
- 端口核对：区分 65 与 49，避免按错误端口做策略
- 合规检查：确认管理面认证路径符合集中管控要求
排查命令
排查命令
ss -lntup 'sport = :65' # 本机 65 端口监听情况
ss -lntp | grep ':49 ' # TACACS+ 服务端口（TCP）
sudo lsof -i :65 -i :49 # 一次反查两个端口
sudo tcpdump -ni any port 65 -c 20 # 抓包确认是否有真实业务流量
# 设备侧核对（以 VRP 为例）：display current-configuration | include tacacsAAA 方案对照
| 方案 | 端口 | 特点 |
|---|---|---|
| 原始 TACACS | 49 UDP / 65 数据库服务 | 认证与数据库分离，已淘汰 |
| TACACS+ | 49 TCP | 面向设备管理，支持按命令授权 |
| RADIUS 认证 | 1812 UDP | 面向网络接入认证，厂商支持广 |
| RADIUS 计费 | 1813 UDP | 会话记录与审计 |
端口不一致是 AAA 排障的常见陷阱：设备侧配了 TACACS+ 却按 65 放行策略，或者计费口未开放导致认证成功但没有会话记录。排查时把「设备配置里的端口」与「防火墙上放行的端口」逐条对照，通常一次就能找到差异。
现代网络设备管理普遍使用 TACACS+，认证与授权分离、可对各条命令单独授权，比原始 TACACS 更适合运维审计。新建设备管理面时按 TACACS+ 规划即可。
这类历史登记端口若在现网仍有监听，说明环境里存在年代久远的认证组件。评估时既要看端口本身，也要看它背靠的账号体系是否仍在被使用。