TACACS+ في Cisco: إدارة دخول مهندسي الشبكات

لو عندك عشرات أو مئات أجهزة Cisco، فإدارة حسابات المستخدمين على كل Router وSwitch بشكل منفصل هتكون مرهقة جدًا.
هنا بيظهر دور TACACS+، وهو بروتوكول مهم ضمن منظومة AAA، وبيُستخدم بشكل شائع لإدارة دخول مهندسي الشبكات إلى أجهزة الشبكة، مع التحكم في الصلاحيات وتسجيل النشاط.
ببساطة:
TACACS+ بيساعدك تعرف مين دخل الجهاز، إيه اللي مسموح له يعمله، وإيه النشاط اللي قام به.

ولو بتذاكر CCNA، فمهم جدًا تفهم العلاقة بين:
AAA → Authentication → Authorization → Accounting → TACACS+

---

🎥 فيديوهات تساعدك قبل قراءة المقال​

لو شوفت المحاضرة الأولى من كورس الـ CCNA، فالبوست ده هيكمل معاك الصورة بشكل عملي.
المحاضرة الأولى من كورس CCNA
ولو بتحب تتعمق أكتر في الشبكات على مستوى المحترفين، تقدر تشوف المحاضرة الأولى من كورس المحترفين
المحاضرة الأولى من كورس المحترفين

---

يعني إيه TACACS+؟ 🔐​

TACACS+ اختصار لـ:
Terminal Access Controller Access-Control System Plus
وهو بروتوكول بيُستخدم لتنفيذ وظائف AAA، خصوصًا عند إدارة الوصول إلى أجهزة الشبكة.
وAAA معناها:

الوظيفة	معناها
Authentication	مين المستخدم؟
Authorization	المستخدم مسموح له يعمل إيه؟
Accounting	المستخدم عمل إيه؟

والـ TACACS+ مصمم بشكل أساسي لحالات Device Administration، يعني إدارة وصول المستخدمين إلى أجهزة الشبكة.

---

TACACS+ بيحل مشكلة إيه؟ 💡​

تخيل شركة عندها:

• 100 Switch.
• 30 Router.
• 10 Network Engineers.

لو كل جهاز عنده Users محليين، فكل مهندس ممكن يحتاج حساب على عدد كبير من الأجهزة.
ولو مهندس ترك الشركة، لازم تتأكد إن حسابه اتشال أو اتقفل من الأجهزة المختلفة.
لكن مع TACACS+ Server مركزي، تقدر تخلي أجهزة الشبكة تعتمد على سيرفر مركزي في عمليات المصادقة والتفويض وتسجيل النشاط.
السيناريو ببساطة:
Network Engineer
↓
Router / Switch
↓
TACACS+ Server
المهندس يحاول الدخول إلى الـ Switch، والـ Switch يتواصل مع TACACS+ Server علشان يتحقق من بيانات المستخدم ويحدد الصلاحيات المناسبة له.
وده بيخلي إدارة المستخدمين أكثر مركزية وتنظيمًا.

---

TACACS+ وعلاقته بـ AAA​

هنا في نقطة مهمة جدًا لازم تفرق بينها، وخصوصًا أثناء مذاكرة CCNA.
AAA مش بروتوكول.
هو إطار أو مجموعة وظائف لإدارة الوصول:

• Authentication
• Authorization
• Accounting

أما TACACS+ فهو بروتوكول يمكن استخدامه لتنفيذ وظائف AAA. وتوضح وثائق Cisco أن TACACS+ يوفر وظائف المصادقة والتفويض والمحاسبة بشكل منفصل.
يعني بشكل مبسط:
AAA = الوظائف
TACACS+ = بروتوكول لتنفيذ هذه الوظائف
ودي من أهم العلاقات اللي لازم تكون واضحة في دماغك بدل ما تحفظ المصطلحات منفصلة.

---

Authentication في TACACS+ 👤​

أول مرحلة هي Authentication.
السؤال هنا:
مين المستخدم؟
المهندس يدخل بيانات تسجيل الدخول، والجهاز يرسل طلب التحقق إلى TACACS+ Server.
السيرفر يتحقق من بيانات المستخدم ويرجع النتيجة.
لو البيانات صحيحة، يتم السماح للمستخدم بالانتقال للمرحلة التالية.
ولو البيانات غير صحيحة، يتم رفض الدخول.
بمعنى أبسط:
Authentication = إثبات هوية المستخدم.

---

Authorization: المستخدم مسموح له يعمل إيه؟ 🛡️​

بعد ما عرفنا إن المستخدم هو الشخص الصحيح، فيه سؤال تاني مهم:
مسموح له يعمل إيه؟
مش كل مهندسي الشبكات لازم يكون عندهم نفس الصلاحيات.
مثلًا، ممكن يكون عندك:

• Engineer مسؤول عن Monitoring فقط.
• Engineer مسؤول عن تغييرات إعدادات الشبكة.
• Administrator عنده صلاحيات إدارية كاملة.

هنا بيظهر دور Authorization.
ممكن تحدد لكل مستخدم الصلاحيات المناسبة لدوره بدل ما تدي كل الناس صلاحيات كاملة.

ليه Authorization مهم؟​

تخيل إن موظف شغله Monitoring فقط.
هو محتاج يشوف حالة الأجهزة، لكن مش محتاج يغير إعدادات Router أو Switch.
لو اديته صلاحيات كاملة، هيكون عنده صلاحيات أكبر من المطلوب لوظيفته.
أما باستخدام Authorization، فتقدر تطبق مبدأ مهم جدًا في أمن المعلومات:
Least Privilege
يعني كل مستخدم يحصل على أقل صلاحيات يحتاجها لتنفيذ وظيفته.
وده بيساعد في تقليل الوصول غير الضروري إلى أجهزة الشبكة والوظائف الإدارية.

---

Accounting: مين عمل إيه؟ 📝​

الجزء الثالث من AAA هو Accounting.
هنا الهدف هو تسجيل نشاط المستخدم.
مثلًا:

• مين دخل الجهاز؟
• دخل إمتى؟
• خرج إمتى؟
• إيه العمليات أو الأوامر اللي تم تنفيذها؟

وده مهم جدًا في بيئات الشركات.
لو حصل تغيير في إعدادات Router مثلًا، ممكن تحتاج تعرف:
مين عمل التغيير؟ ومتى حصل؟
وده بيساعد في:

• Auditing
• Troubleshooting
• تتبع التغييرات
• معرفة المسؤول عن العمليات

بالتالي، Accounting مش معناه محاسبة مالية؛ المقصود هو تسجيل ومتابعة نشاط المستخدم.

---

أهم فرق بين RADIUS وTACACS+ ⚖️​

دي من النقاط المهمة جدًا في دراسة الشبكات.
بشكل عام، RADIUS شائع في سيناريوهات Network Access، بينما TACACS+ شائع في إدارة أجهزة الشبكة نفسها.

RADIUS	TACACS+
يُستخدم بشكل شائع في Network Access	يُستخدم بشكل شائع في إدارة Network Devices
802.1X	Router
Wireless Authentication	Switch
VPN Access	Firewall وأجهزة الشبكات
يستخدم UDP	يستخدم TCP
المنافذ تختلف حسب خدمة RADIUS	TCP 49

والاستخدامات ممكن تتداخل حسب تصميم الشبكة والمنتج والسياسة المستخدمة.
لكن كقاعدة ذهنية مفيدة أثناء المذاكرة:
RADIUS ⬅️ Network Access
TACACS+ ⬅️ Network Device Administration

---

TACACS+ يستخدم TCP 49 🔢​

دي من المعلومات اللي تستحق الحفظ في CCNA.
TACACS+ يستخدم TCP، والمنفذ الافتراضي المعروف له هو 49.
افتكرها بالشكل ده:
TACACS+ ⬅️ TCP 49
ودي نقطة مختلفة عن RADIUS، اللي يعتمد على UDP.

💡 معلومة للمذاكرة: لو شفت في سؤال CCNA إن البروتوكول المستخدم لإدارة أجهزة الشبكة يعمل على TCP Port 49، فكر مباشرة في TACACS+.

---

TACACS+ والفصل بين وظائف AAA​

من النقاط المهمة في TACACS+ إنه بيوفر فصلًا واضحًا بين وظائف AAA.
يعني ممكن التعامل مع:
Authentication
بشكل منفصل عن:
Authorization
وكذلك:
Accounting
وتوضح وثائق Cisco أن TACACS+ يسمح بتوفير خدمات Authentication وAuthorization وAccounting بشكل مستقل.
وده بيساعد المؤسسات على تطبيق تحكم أكثر دقة في وصول مهندسي الشبكات إلى أجهزة البنية التحتية.

---

TACACS+ مع أجهزة Cisco 🌐​

هتقابل TACACS+ بشكل متكرر في بيئات Cisco Enterprise.
بدل ما كل Router أو Switch يعتمد فقط على قاعدة المستخدمين المحلية، ممكن الجهاز يتواصل مع TACACS+ Server مركزي لتنفيذ عمليات AAA.
وده يوفر إدارة مركزية لـ:

• Authentication
• Authorization
• Accounting

وتوضح Cisco أن أجهزة الشبكة تعمل كـ TACACS+ clients وتتواصل مع السيرفر للحصول على خدمات AAA.
وبالتالي بدل ما تدير المستخدمين على كل جهاز بشكل منفصل، تقدر تعتمد على نظام مركزي.

---

هل TACACS+ يلغي Local Authentication؟​

مش بالضرورة.
ممكن يكون عندك Local User كوسيلة احتياطية، حسب تصميم الشبكة وسياسة المؤسسة.
وده مهم جدًا في تصميم أنظمة Authentication.
لازم ما تفكرش بس في السيناريو الطبيعي:
المستخدم موجود ⬅️ السيرفر شغال ⬅️ Authentication ناجح.
لكن اسأل نفسك كمان:
إيه اللي هيحصل لو TACACS+ Server أصبح غير متاح؟
هنا لازم يكون عندك تصميم مناسب للتعامل مع فشل خدمة المصادقة، وقد تتضمن الخطة طريقة Local Authentication احتياطية حسب إعدادات الجهاز وسياسة المؤسسة.
Cisco توضح أيضًا أن أجهزة الشبكة يمكن إعدادها للتعامل مع أكثر من TACACS+ Server، بحيث يمكن الانتقال إلى Server آخر عند فشل الأول في بعض السيناريوهات.
وده بيوضح مبدأ مهم في تصميم الشبكات:
مش كفاية إن النظام يشتغل في الظروف الطبيعية، لازم تفكر كمان في الـ Failure Scenarios.

---

متخلطش بين TACACS+ Server وجهاز المستخدم ⚠️​

دي نقطة بسيطة لكنها مهمة.
TACACS+ Server مش هو جهاز المستخدم.
الـ Server هو النظام المركزي اللي أجهزة الشبكة بتتواصل معاه لتنفيذ عمليات AAA.
الشكل الصحيح للفكرة هو:
Network Engineer
↓
Router / Switch
↓
TACACS+ Server
يعني مهندس الشبكات بيتعامل مع الـ Router أو الـ Switch، والجهاز نفسه هو اللي يتواصل مع TACACS+ Server للتحقق من المستخدم وتنفيذ سياسات الوصول.
وفقًا لتعريف RFC 8907، جهاز الـ Network Device الذي يبدأ طلبات TACACS+ يعتبر Client، بينما السيرفر يستقبل الطلبات ويرد عليها.

---

TACACS+ والإدارة المركزية 👨‍💻​

تخيل عندك مئات أجهزة الشبكة.
بدل ما كل جهاز يكون عنده مجموعة Users منفصلة، تقدر تعتمد على نظام مركزي لإدارة الحسابات والصلاحيات.
مثلًا:
👤 مهندس جديد انضم للشركة:
يتم إنشاء حسابه في النظام المركزي.
🚪 مهندس ترك الشركة:
يتم تعطيل حسابه مركزيًا.
🔑 صلاحيات مهندس اتغيرت:
يتم تعديل صلاحياته في النظام المركزي.
ده يقلل الإدارة اليدوية على أجهزة الشبكة، ويساعد على جعل إدارة الوصول أكثر تنظيمًا.

---

أهم حاجات تحفظها عن TACACS+ 🎯​

لو بتذاكر CCNA، حاول تربط المعلومات ببعض بدل ما تحفظها كقائمة منفصلة:

• TACACS+ بروتوكول يُستخدم لتنفيذ وظائف AAA.
• Authentication = تحديد هوية المستخدم.
• Authorization = تحديد الصلاحيات.
• Accounting = تسجيل نشاط المستخدم.
• TACACS+ يستخدم TCP.
• Port 49 هو المنفذ الافتراضي المعروف لـ TACACS+.
• يُستخدم بشكل شائع لإدارة Network Devices.
• RADIUS شائع في Network Access مثل 802.1X وWireless.
• ممكن استخدام Local Authentication كطريقة احتياطية حسب تصميم الشبكة.
• TACACS+ يسمح بفصل وظائف AAA بشكل مستقل.

---

الخلاصة 🚀​

المهم إنك ما تحفظش إن:
TACACS+ = TCP 49
وخلاص.
افهم الأول هو موجود ليه.
في شبكة صغيرة، ممكن تكون إدارة المستخدمين محليًا كافية. لكن مع زيادة عدد أجهزة الشبكة والمهندسين، الإدارة المركزية للوصول والصلاحيات وتسجيل النشاط بتبقى أكثر أهمية.
حاول تربط الصورة كلها مع بعض:
AAA
↓
Authentication ⬅️ مين المستخدم؟
Authorization ⬅️ مسموح له يعمل إيه؟
Accounting ⬅️ عمل إيه؟
وبعدها اربطها بـ:
TACACS+ ⬅️ بروتوكول لتنفيذ وظائف AAA، ويُستخدم بشكل شائع لإدارة الوصول إلى أجهزة الشبكة.
وده أسلوب مفيد جدًا في مذاكرة الـ CCNA:
افهم العلاقة بين المفاهيم الأول، وبعدها احفظ التفاصيل المهمة. 📚

---

الأسئلة الشائعة ❓​

---------------

ما هو TACACS+؟​

TACACS+ هو بروتوكول يُستخدم لتنفيذ وظائف AAA، ويُستخدم بشكل شائع لإدارة الوصول إلى أجهزة الشبكة مثل Router وSwitch، مع التحكم في الصلاحيات وتسجيل النشاط.

ما هو منفذ TACACS+؟​

TACACS+ يستخدم TCP Port 49 كمنفذ افتراضي معروف.

هل TACACS+ يستخدم TCP أم UDP؟​

TACACS+ يستخدم TCP، بينما RADIUS يستخدم UDP.

ما الفرق الأساسي بين RADIUS وTACACS+؟​

RADIUS شائع في سيناريوهات Network Access مثل 802.1X وWireless، بينما TACACS+ شائع في إدارة أجهزة الشبكة والتحكم في وصول مهندسي الشبكات.

هل TACACS+ جزء من AAA؟​

TACACS+ ليس هو AAA نفسه، لكنه بروتوكول يمكن استخدامه لتنفيذ وظائف AAA، وهي Authentication وAuthorization وAccounting.

هل أحتاج TACACS+ في كل شبكة؟​

مش بالضرورة. استخدامه يعتمد على حجم الشبكة، عدد المستخدمين والأجهزة، ومتطلبات إدارة الوصول والسياسات الأمنية داخل المؤسسة.