AAA con RADIUS o TACACS+ para quien administra la red

Los dos protocolos sirven para AAA, con matices. RADIUS (RFC 2865, puerto UDP 1812) combina autenticación y autorización en una sola respuesta del servidor y solo protege con cifrado el atributo de la contraseña. TACACS+ (RFC 8907, puerto TCP 49) separa las tres funciones, lo que permite que el servidor decida comando por comando qué puede ejecutar cada persona y que la contabilidad registre cada uno. El propio RFC aclara que su protección del contenido es solo ofuscación, sin integridad ni protección contra repetición, y pide desplegarlo en redes que garanticen privacidad e integridad. Por eso la gestión va en una red separada.

Los servidores caen. Un equipo que depende de un servidor y no tiene método de respaldo se vuelve inaccesible cuando este falla, justo cuando más se necesita entrar. La práctica es un respaldo local: una cuenta propia, con clave única y guardada en caja, que se usa solo en emergencia y se avisa cuando se usa.

Lee metodos y busca el equipo que valida contra el servidor y no tiene respaldo.

La contabilidad es lo que responde después de un incidente a «quién cambió esto». Un equipo que no la envía al servidor no deja rastro central de las sesiones ni de los comandos de quien lo administra.

Cuenta en metodos los equipos cuya columna contabilidad es no.

Las cuentas locales son útiles y peligrosas: si tres equipos comparten la misma clave, comprometer uno compromete a los tres, y si la clave lleva años sin cambiarse, la conocen personas que ya no trabajan allí. La tabla cuentas_locales muestra un marcador por cuenta (nunca el valor real): el mismo marcador es la misma clave.

El hallazgo se cierra con una remediación concreta y proporcionada. Para estos equipos significa pasar la autenticación, la autorización y la contabilidad al servidor, y dejar la cuenta local solo como emergencia.