TACACS与RADIUS区别在哪？一文读懂认证协议选型
📖 目录导读
- 核心定义：TACACS与RADIUS究竟是什么？
- 历史与演变：两种协议的发展脉络
- 五大核心区别（关键对比表格）
- 协议交互机制深度解析
- 常见场景与选型建议
- QA问答精选（解决你90%的疑问）
核心定义：TACACS与RADIUS究竟是什么？
TACACS（Terminal Access Controller Access-Control System）和RADIUS（Remote Authentication Dial-In User Service）都是网络接入控制领域的AAA协议（Authentication认证、Authorization授权、Accounting计费），它们被广泛应用于路由器、交换机、防火墙等网络设备，以及VPN、无线接入点等场景，用于验证用户身份、控制访问权限并记录活动日志。
当你在公司内网登录一台交换机,设备会将你的账号密码发给TACACS或RADIUS服务器进行验证——但两者处理方式截然不同。
历史与演变
- TACACS：1984年由Cisco开发，最初是终端访问控制协议，1990年代演变为TACACS+（常见指代即“增强版”），彻底重构了加密和命令授权功能。
- RADIUS：由Livingston公司（后并入Lucent）于1991年提出，1997年标准化为RFC 2058/2059，更倾向于开放标准和跨厂商兼容性。
两者都经历了数十年迭代,但核心设计哲学导致它们走向不同应用场景。
五大核心区别（关键对比表格）
| 维度 | TACACS+ | RADIUS |
|---|---|---|
| 协议传输 | 基于TCP（可靠连接） | 基于UDP（无连接） |
| 加密范围 | 整个数据包（包括认证、授权、计费字段） | 仅加密密码字段，其余明文 |
| AAA分离 | 支持分离：认证、授权、计费可独立进行 | 绑定式：认证与授权通常合并执行 |
| 命令级授权 | 支持：可控制用户能执行哪些具体命令 | 不支持：仅控制网络访问权限 |
| 标准与厂商 | Cisco专有协议（但部分厂商支持） | IETF标准化（RFC 2865/2866），跨厂商兼容 |
🔍 深度解读：
- TCP vs UDP：TACACS使用TCP保证了可靠性，但丢包后重传开销略大；RADIUS使用UDP效率更高，但需应用层处理超时重传。
- 加密差异：TACACS对整个报文加密（包括用户名、服务类型等），更适用于需要隐藏完整会话信息的场景（如网络设备管理），RADIUS仅加密密码，其余如用户名、NAS IP等明文传输，若被嗅探可能暴露访问模式。
- AAA分离：这是最关键的架构差异，TACACS允许“只认证不授权”或“只计费不认证”，便于实现精细化的权限分级，RADIUS则将认证和授权捆绑在一个Access-Accept包中返回，灵活性受限于协议设计。
协议交互机制深度解析
📌 TACACS+ 典型流程（以网络设备登录为例）
- 设备发起连接 → TACACS服务器验证用户名/密码（Authentication）
- 若认证成功,服务器单独返回授权信息（Authorization）：如“允许进入特权模式”、“禁止删除日志命令”
- 用户执行命令 → 设备再次向TACACS服务器发送命令授权请求，询问是否允许操作
- 会话结束后,设备上传计费数据（Accounting）
📌 RADIUS 典型流程（以PPPoE拨号为例）
- 用户发起连接 → 设备发送Access-Request（含用户名+加密密码）
- 服务器验证后,返回Access-Accept（同时携带授权属性：如IP地址池、会话超时时间）
- 开始计费：设备发送Accounting-Start，结束再发Accounting-Stop
常见场景与选型建议
✅ 推荐使用 TACACS+ 的场景：
- 多厂商网络设备管理（尤其是Cisco设备集群）
- 需要命令级审计（如金融、政府机构精确追踪谁执行了“shutdown interface”）
- 需要AAA分离精细控制（如允许A用户登录但禁止配置，B用户只读）
- 要求整个会话内容加密（防内部嗅探）
✅ 推荐使用 RADIUS 的场景：
- 无线网络认证（802.1X、WPA企业版）
- 服务提供商宽带接入（PPPoE、L2TP）
- 跨厂商环境（避免锁定单一品牌）
- 简单认证+授权一体的场景（无需命令级控制）
QA问答精选
❓ 问：两种协议哪一个更安全？
答：没有绝对“更安全”，取决于威胁模型。
- TACACS+：加密全部数据，且采用TCP可靠传输，适合内网设备管理（假设网络稳定可控）。
- RADIUS：仅加密密码，UDP传输速度更快，但暴露了部分属性（如NAS名称），适合对性能敏感且信任链路隔离的环境。
❓ 问：能否在同一网络同时使用TACACS和RADIUS？
答：可以，常见做法：
- 设备管理入口 → 用TACACS+（控制谁可以登录交换机）。
- 用户上网认证（802.1X）→ 用RADIUS（例如与微软AD结合）。 现代网络设备通常都支持同时配置多个AAA服务器。
❓ 问：RADIUS计费比TACACS好吗？
答：计费能力旗鼓相当，RADIUS的Accounting协议有RFC标准支持，多数计费系统原生支持；TACACS+的计费虽非标准，但Cisco设备提供了丰富的计费属性（如输入/输出字节数，会话ID等），如果计费需要写入第三方系统（如RADIUS是首选），TACACS+更适合与Cisco Prime等生态集成。
❓ 问：为什么很多云服务只支持RADIUS？
答：因为RADIUS是开放式国际标准，几乎所有的NAS（网络接入服务器）、VPN网关、无线控制器都原生支持，TACACS+虽是Cisco事实标准，但非Cisco设备支持度较低，云服务商为了兼容更多客户会选择RADIUS。
选择关键是“管理谁？”
TACACS+ 强在设备管理：精细化权限、命令审计、全程加密，适合网络工程师自己“管设备”。
RADIUS 强在用户接入：跨厂商兼容性、简单高效，适合大量用户“连网络”。
最后送上一句话：若你在规划一个纯Cisco网络且需要命令级审计→选TACACS+；若你需要兼容多品牌且服务多样化用户→选RADIUS。 两者并非互斥，混合配置是最优解。
