★ FEATURED ARTICLE 做网络维护这些年最怕听到的不是“断网了”而是“账号登不上设备了”。TACACS作为网络设备常用的AAA协议在认证授权计费这条链路上扮演了近乎“唯一裁判”的角色一旦它出问题设备上就会出现大面积登录失败、命令被拒、甚至审计日志缺失。更麻烦的是TACACS默认会把报文主体加密你在Wireshark里抓到的一整串十六进制数据既看不到用户在输什么密码也看不到服务器回了什么状态。这篇文章不讲泛泛的AAA概念就围绕“Wireshark解密TACACS加密报文”这件事把从抓包到解密、从认证到授权计费全流程的报文怎么读、状态码怎么认、出了问题怎么定位完整走一遍。适合正在做网络运维、设备准入、或者刚接触AAA体系的工程师也适合那些被TACACS排障逼到失眠的人。1. 从协议加密原理理解“为什么要解密”1.1 TACACS在认证链路中的角色再认识很多刚接触TACACS的人容易把它和RADIUS混淆实际上两者的分工和设计倾向完全不同。TACACS走TCP默认使用49端口传输的是三个动作的完整记录Authentication认证、Authorization授权、Accounting计费。你可以把这三个动作想象成酒店入住流程——认证是出示身份证确认你是谁授权是决定给你普通房还是行政房计费是记录你住了几晚、消费了多少。网络设备上的用户登录也一样用户输入账号密码设备作为NASNetwork Access Server把登录请求转发给TACACS服务器服务器确认身份后再决定用户能执行什么命令最后把整个操作会话记录下来。在真实网络环境里TACACS最常见的应用场景是网络设备的管理接口登录、带外管理系统接入、以及运维堡垒机的账号联动。这类场景对审计要求极高所以TACACS不但要管住“你是谁”还要管住“你能干什么”和“你干了什么”。也正因为如此一旦这个链路断掉网络设备的日常运维就会直接瘫痪排障窗口往往只有几十分钟这时候如果盯着Wireshark里密密麻麻的加密报文明文信息很容易心态崩掉。1.2 “加密”到底是怎么实现的伪随机流掩码TACACS的加密并不是像HTTPS那样用TLS握手协商出一个会话密钥然后做正经的加解密。它的报文头12字节始终是明文包括版本号、类型、序列号、会话ID和报文长度但报文体body会被一个由MD5生成的伪随机流做异或掩码这就是你抓包后看到一堆乱码的原因。伪随机流的生成算法是固定的可以总结成下面这个递推过程P_1 MD5(session_id key version type seq_no) P_i MD5(P_{i-1} key version type seq_no)然后把多个P_i连成一串字节流拿这段字节流与body逐字节做XOR。这里的session_id和seq_no都在报文头里version、type也在报文头里真正保密的只有key也就是设备端和服务器端都配置的那个共享密钥。换句话说TACACS的加密强度完全押在key上。只要我们知道key又拿到了session_id、seq_no和type完全可以在本地重新生成那段伪随机流把XOR结果反推出来恢复body明文。这里有一个常见误区很多人以为TACACS加密是AES或者DES一类的现代对称加密其实它本质上是一种流密码式的掩码操作。理解这一点很重要因为这意味着解密时不需要任何“绕过”或“破解”只要key配置正确Wireshark就能做纯粹的解密还原。反之如果key配错了解出来就是乱码但头部字段不受影响你依然能看到会话ID、报文长度这些信息这往往是我们定位“key是否配错”的第一个线索。1.3 解密在排障中的实际价值没有解密之前TACACS报文的body对排障人员来说就是一个黑盒。你只知道设备发了什么、服务器回了什么但根本不知道用户名有没有传过去、密码阶段是否失败、授权命令被拒到底是策略问题还是报文格式问题。解密之后就不一样了Wireshark可以直接把Authentication阶段的ACTION、USER、PASSWORDAuthorization阶段的REQUEST、REPLY、ARGAccounting阶段的START、STOP、UPDATE全部展开每个字段的取值都看得清清楚楚。我实际排障中遇到过几次典型情况用户反馈登录总是失败服务器日志却说“认证成功”。这听起来像推皮球但一抓包解密之后就明白了——认证请求被某个中间设备拦截了根本没到服务器又或者用户输错的是域前缀服务器一直在回“用户不存在”的FAIL但登录界面却提示密码错误让用户误以为密码有问题。这些问题在解密报文面前都是秒定位但在没有解密的条件下你只能靠猜。所以我说掌握Wireshark解密TACACS这项技能不是锦上添花而是做AAA运维的基础能力。2. Wireshark解密配置与抓包准备2.1 抓包点的选择别让镜像找错地方解密TACACS报文的第一个前提是你能抓到完整的双向流量。TACACS是客户端-服务器模型认证请求从设备发往服务器认证响应从服务器发回设备两边都要抓到才能看懂完整交互。抓包点一般有三个选择第一在网络设备上配置端口镜像把连接认证服务器的那个接口的流量镜像给抓包主机第二在服务器端用tcpdump或Wireshark直接抓本机与设备交互的49端口流量第三在设备和服务器之间的汇聚交换机上做SPAN。我个人更推荐第二种因为服务器上抓包最简单不需要改动现网设备的镜像配置风险也更低。如果你用的是Linux服务器一条命令就够了tcpdump -i eth0 -s 0 -w tacacs_debug.pcap port 49这里有个容易被忽略的坑抓包主机的网卡如果开启了TSOTCP Segmentation Offload和GROGeneric Receive Offloadtcpdump抓到的报文可能会被网卡做了重组或分段卸载导致Wireshark里看到的TCP流长度不对TACACS的Length长度校验会出问题甚至解码错乱。建议在抓包前用ethtool把这些卸载功能关掉ethtool -K eth0 gro off gso off tso off抓包时长不要贪多几分钟或者复现一次登录失败就够。抓太多包反而会淹没关键信息我一般习惯复现一次完整的“失败登录”过程就停然后用display filter慢慢看。2.2 配置共享密钥解密成功的关键一步Wireshark解TACACS的核心配置在协议首选项里。以Wireshark 4.x为例打开Edit - Preferences在协议列表中找到TACACS在右侧的Key输入框中填入设备端和服务器端配置的那个共享密钥。密钥可以填ASCII字符串也可以填十六进制具体取决于你在网络设备上配置的是什么格式。填完之后保存Wireshark会自动判断所有TACACS报文的加密标志位如果报文带加密且你能提供正确keybody就会被还原成可读的ASCII。需要注意新版本的Wireshark已经不需要再单独勾选“解密”开关只要key填了就直接生效但如果你用的是老版本比如3.0以下的界面里可能没有TACACS协议支持需要先升级版本。这里还有一个经验某些厂商设备默认使用十六进制密钥格式服务器端却用的ASCII字符串两边其实指的是同一个值但如果你填错了输入格式Wireshark解出来就是乱码。遇到这种情况先确认设备端和服务器端实际落地的key再进行转换。提示TACACS共享密钥相当于认证链路的总钥匙。它能解密网络上所有经过该设备的管理登录流量等同于内网管理者口令库的钥匙务必只在授权环境下使用。2.3 用过滤规则快速定位报文流配置好解密之后Wireshark界面上显示的内容就丰富多了。但如果你抓的是整台服务器上所有49端口的流量几十个TCP连接会混在一起必须学会用过滤规则收敛范围。最常用的显示过滤器是下面这组tacacs只看TACACS协议报文解密后的报文会带有tacacs字段tcp.port 49 tacacs只看49端口上的TACACS流量tacacs.type 1只看认证报文type1tacacs.type 2只看授权报文tacacs.type 3只看计费报文tacacs.status 2只看认证失败的回复实际操作中我还会配合TCP Stream分析。选中一条TACACS报文右键Follow - TCP Stream可以直接把同一个TCP连接上的所有报文按时间顺序串起来看对整个认证流程一目了然。Wireshark的着色规则也可以自定义比如把认证失败FAIL标成红色授权通过PASS标成绿色排障的时候扫一眼颜色就能发现问题。3. 认证流程解密实战还原一次登录请求3.1 认证启动看懂ACSTART报文现在假设我们已经抓到了一段用户登录设备失败的过程并且成功解密。从第一个TACACS报文开始看一般是设备发出的Authentication START报文这个报文的核心字段如下action LOGIN (1)说明这是登录类型的认证请求priv_lvl PRIV (15)请求特权级别15代表最高权限authen_type ASCII (1)用户名密码以ASCII方式传输service LOGIN (1)认证服务的类型是登录会话user admin用户名port tty10用户接入的端口或会话标识rem_addr 192.168.10.88用户的来源IP注意user字段在START报文里不一定会填很多实现是在后续的CONTINUE报文里才传用户名。所以如果你看到START报文里的user是空字符串不用慌继续往下看。看START报文还有一个关键点确认源IP和目标IP是否正确。设备发往服务器的请求源地址应该是设备的管理IP或服务器指定的NADNetwork Access Device地址如果源IP被NAT改写了而服务器配置里没有这个IP认证直接就挂了。这种问题不看报文根本发现不了。3.2 用户名与密码交互ACREPLY和ACCONTINUE设备发了START之后服务器会回一个认证回复报文类型是ACREPLY它的status字段决定了下一步动作status GETUSER (4)服务器要求客户端提供用户名status GETPASS (5)服务器要求客户端提供密码status GETDATA (3)服务器要求客户端提供额外数据status PASS (1)认证通过status FAIL (2)认证失败典型的登录过程是这样的设备先发START服务器回GETUSER设备再发ACCONTINUE报文带上用户名服务器又回GETPASS设备再发第二个ACCONTINUE带上密码。你会在Wireshark里看到一串交互报文每一种状态字段都清晰可见。这里有一个非常实用的技巧在解密后的ACCONTINUE报文的user_msg字段里直接能看到用户实际输入的密码明文。这不是什么漏洞而是TACACS协议的设计——密码在传输时被body加密保护但管理端拿到key解密后自然能看到。作为排障人员这个能力可以帮你快速判断“用户到底输没输错密码”。我遇到过一次特别典型的排障用户反复报障说密码正确但登录失败一抓包发现他把键盘大小写锁定了传过来的密码多了好几个大写字母服务器自然一直回FAIL。没有解密能力这个case可能要来回沟通一整天。3.3 认证结果重点盯状态码认证最后一步是服务器返回的ACREPLY报文状态码是排障关注的焦点。常见的几种结果分别是PASS、FAIL、ERROR。PASS和FAIL的区别不用多说真正让新手头疼的是ERROR。ERROR状态一般意味着服务器在处理请求时自己出了异常比如数据库连接超时、LDAP后端无响应、或者设备平台与服务器策略不匹配。还有一种隐蔽情况TACACS服务器返回FAIL但FAIL里带了一段server_msg这段消息在设备用户侧会携带给用户看。把这段消息和报文状态码对应起来就能定位是密码错误、用户不存在、还是禁止登录时段。Wireshark把这些字段都解析得很细你只要养成看status的习惯认证排障就会变得非常快。碰到认证响应迟迟不来也就是没有REPLY报文的情况优先检查网络层面是不是把49端口的TCP连接给reset了同时确认设备到服务器之间的ACL有没有放过不要一上来就怀疑服务器宕机。TCP层三次握手是否完成、有没有TCP Retransmission这些在Wireshark里一拉就是结论。4. 授权与计费流程解密实战4.1 授权流程从会话建立到命令放行认证通过不等于授权通过。认证只解决“你是不是合法用户”授权才决定“你能做哪些操作”。TACACS的Authorization有个特点它可以做“按命令粒度”的授权也就是说用户每敲一条命令设备都可能发一个授权请求去问服务器“这条命令允不允许他执行”。看解密后的Authorization报文主要的请求字段是service SHELL (8)请求的是命令行会话授权cmd configure用户输入的命令比如configure terminalcmd-args terminal length 0命令参数user admin用户名rem_addr来源IP服务器回应的Authorization REPLY报文里status字段可能是PASS_ADD、PASS_REPL或FAIL。PASS_ADD表示授权通过并且附加了额外属性PASS_REPL表示授权通过并替换了某些属性FAIL则表示命令被拒绝。如果你的用户明明认证成功了但一进设备就提示Command authorization failed那问题铁定出在授权环节不是账号本身的问题。我曾经排查过一个case某运维账号登录没问题但执行show running-config就被拒绝。看解密后的授权请求命令是show running-config服务端回了一个FAIL并附带server_msg提示“该命令未在白名单内”。把这个报文截图发给策略管理员对方直接改了策略前后不到半小时恢复。如果是以前没解密的状态这种问题只能拿着设备日志和服务器日志来回比对耗时极长。4.2 计费流程完整记录你的每一次操作计费Accounting在TACACS里是一个相对独立但非常重要的部分它负责记录会话从开始到结束的所有关键事件。计费报文里一个核心字段是flags常见的取值有三个TAC_PLUS_ACCT_FLAG_START (0x02)会话开始TAC_PLUS_ACCT_FLAG_STOP (0x04)会话结束TAC_PLUS_ACCT_FLAG_WATCHDOG (0x08)会话保持期间的心跳更新一个完整的计费流程是这个样子的用户登录成功后设备发一条Accounting START记录“用户admin从192.168.10.88登录设备”用户操作期间设备可能周期性发WATCHDOG报文用户退出时设备发Accounting STOP记录会话时长、收发流量、执行的命令数量等。对需要审计的行业来说计费报文几乎是唯一可靠的运维凭证。4.3 把认证、授权、计费用一条命令串起来理解全流程最好的方法是把一次真实的“登录-执行命令-退出”过程拆成时间线。假设用户A通过SSH登录设备我抓到的TACACS报文大致顺序是这样的设备发Authentication STARTactionLOGIN服务器回GETUSER要求用户名设备发Authentication CONTINUE携带用户名服务器回GETPASS要求密码设备发Authentication CONTINUE携带密码服务器回Authentication PASS认证通过设备发Authorization REQUESTserviceLOGIN申请会话授权服务器回Authorization REPLYstatusPASS_ADD附带权限属性设备发Accounting START记录会话开启用户敲命令时设备逐条发Authorization REQUEST并收到REPLY用户退出后设备发Accounting STOP记录会话结束这11步看着很多但Wireshark按时间排好之后每一步都很清晰。你甚至可以给每个类型的报文配置不同的着色规则整体视觉上就像一条流水线。实际操作中我习惯先看认证是否PASS再看授权是否PASS最后看计费报文是否完整按这个顺序做三段式checklist几乎不会漏掉问题。5. 解密失败与排障实录5.1 解密失败最常见的五个原因我见过不少工程师在配置解密时卡了很久其实Wireshark解不出TACACS报文原因通常就那么几个下面这个表格基本覆盖了日常会踩的坑现象可能原因处理方式body呈现乱码头部正常key填写错误核对设备端和服务器端key确认ASCII/hex格式转换全部报文没有加密标志报文的加密标志位为0检查是否抓到了非加密版本的TACACS配置确认设备是否关闭了加密只有单向流量能解密抓包位置只看到单方向或key只在单方向使用扩大抓包范围检查镜像方向和TCP连接TCP层数据长度异常TSO/GRO未关闭网卡重组导致偏移关闭抓包主机网卡卸载功能重新抓包同一个报文的字段错位Wireshark版本太旧不支持新格式升级Wireshark到最新稳定版还有一个经常被忽略的当你抓到的报文header flags中出现了TAC_PLUS_UNENCRYPTED_FLAG0x01时表示这个报文本来就是明文传输的没有做掩码处理。这种情况下Wireshark不需要key也能直接看到body内容。很多手机App或者简易TACACS测试工具默认是不加密的抓到这种报文不要奇怪反而省事。5.2 TCP粘包和重组问题的应对TACACS的每个报文都有一个4字节的Length字段标明body长度但TCP是流式传输多个TACACS报文可能会被合并在同一个TCP段里也可能一个报文被拆成多个TCP段。Wireshark的TACACS解码器本身会处理大部分重组逻辑但偶尔你仍然会看到某个报文显示“Reassembled TCP”或者在报文详情里出现Length mismatch。遇到这种情况我的做法是先看TCP流里是否有Retransmission或Out-of-Order如果有说明网络层出现了乱序Wireshark按TCP序列号重组后可能把报文边界弄错如果网络层干净那多半是分析器对协议版本识别有歧义。解决办法是在TACACS协议偏好里调整端口配置或者手动用“Follow TCP Stream”看整体字节流对照Length字段手动确认边界。抓包时我通常还会把Wireshark的“Enable TCP subdissector”保持默认开启同时关闭不必要的HTTP、DNS解码降低干扰。不要同时开太多分析器的解码Wireshark在处理大规模流量时偶尔会因为资源占用而丢失部分报文的解析这种问题重抓一次就能规避。5.3 一条高效的AAA排障思路最后分享一个我自己多年养成的AAA排障顺序。遇到TACACS相关故障不要直接去翻服务器日志先按下面这个次序走一遍第一步抓包确认TCP 49端口三次握手是否成功。如果连TCP都建不起来后面全免谈。第二步看Authentication阶段确认用户、密码、状态码。这一步能排除90%的登录类故障。第三步看Authorization阶段确认命令或会话授权是否PASS。如果用户能登录但操作受限问题在授权。第四步看Accounting阶段确认START和STOP是否正常上报。如果计费缺失检查设备计费配置和服务器队列。第五步只有在抓到报文仍无法定位时才去查服务器日志和AAA平台审计记录用日志来补充上下文。这套顺序的好处是“用裸报文说话”而不是被设备或服务器两边日志的字段差异带偏。日志是程序写的可能出现措辞不准、时区错位、漏记等问题但报文是事实存在过的原始记录不会骗人。我自己从第一次在Wireshark里看到TACACS报文从乱码变成可读字符串到现在每次排障都离不开这个技能最大的体会就是解密不是黑客行为而是每个网络管理员对自己设备的正常排障手段。掌握它之后你会发现以前那些让人抓狂的登录失败、命令被拒、审计缺失问题其实都有清晰的答案。再说句实在话把key配置管好、抓包习惯养成这个技能带来的效率提升是立竿见影的。下次你再接到“设备登不上”的告警不用慌抓个包、解个密答案往往就在前几个报文的状态码里。
阅读完成 · 觉得有帮助？
