ICND1_Vol1_RUS

С помощью команды login local можно включить аутентификацию на основе имени пользователя и пароля, указанного с помощью команды глобальной конфигурации username. Команда username включает аутентификацию по имени пользователя с использованием зашифрованных паролей.

Глобальная команда enable password ограничивает доступ к привилегированному режиму EXEC. Можно определить пароль доступа для сохранения в зашифрованной форме с помощью команды «enable secret». Для этого необходимо ввести команду enable secret с желаемым паролем в приглашении режима глобальной конфигурации. Если пароль «enable secret» настроен, он используется вместо простого пароля, а не вместе с ним.

Можно также добавить еще один уровень безопасности, который будет особенно полезен для паролей, пересылаемых по сети или хранящихся на TFTP-сервере. Cisco предоставляет возможность использования зашифрованных паролей. Чтобы установить шифрование пароля, введите команду service password-encryption

в режиме глобальной конфигурации.

Отображаемые пароли и пароли, заданные после выполнения команды service password-encryption, будут зашифрованы.

Чтобы отключить команду, используйте версию «no» этой команды. Например, используйте команду no service password-encryption, чтобы отключить шифрование паролей.

Настройка баннера входа

Интерфейс командной строки используется для настройки «сообщения дня» и ввода других команд консоли. В этом разделе описываются некоторые задачи конфигурации, необходимые для включения баннера входа.

Настройка баннера входа

Задает и активирует настраиваемый баннер, который выводится перед запросом имени пользователя и пароля

SwitchX# banner login " Access for authorized users only. Please enter your username and password. "

С помощью команды banner login в режиме глобальной конфигурации можно настроить баннер, который будет отображаться перед запросом имени

пользователя и пароля. Чтобы отключить баннер входа, используйте версию «no» этой команды.

После ввода команды banner login поставьте за ней один или несколько пробелов и символ-разделитель по выбору. В этом примере в качестве символаразделителя используется кавычка ("). После добавления текста баннера завершите сообщение таким же символом-разделителем.

Предупреждение Необходимо осторожно выбирать слова, используемые в баннере входа. Выражения типа «добро пожаловать» могут означать, что доступ неограничен, что позволит хакерам оправдать свои действия.

Сравнение доступа через Telnet и SSH

В этом разделе рассматривается выбор режима удаленного доступа.

Сравнение доступа через Telnet и SSH

Telnet

–Самый распространенный метод доступа

–Незащищенный

Зашифрованный SSH

!– The username command create the username and password for the SSH session Username cisco password cisco

ip domain-name mydomain.com

crypto key generate rsa

ip ssh version 2

line vty 0 4 login local

transport input ssh

Telnet – это самый распространенный метод доступа к сетевому устройству. Однако Telnet является незащищенным методом доступа к сети, и поэтому его использование не рекомендуется. Протокол SSH – это безопасная замена Telnet, которая обеспечивает аналогичный тип доступа. Обмен данными между клиентом и сервером шифруется и в SSHv1, и в SSHv2. По возможности используйте SSHv2, так как в этом протоколе используется сложный алгоритм шифрования.

Сначала протестируйте аутентификацию без SSH, чтобы удостовериться, что аутентификация работает на коммутаторе. Аутентификация может выполняться

сиспользованием локального имени пользователя и пароля или через сервер аутентификации, авторизации и учета (AAA) под управлением службы TACACS + или RADIUS. (Аутентификация на основе просто пароля не поддерживается

в SSH.) В следующем примере показана локальная аутентификация, которая позволяет использовать протокол Telnet для получения доступа к коммутатору

спомощью имени пользователя cisco и пароля cisco.

!--- The username command create the username and password for the SSH session

username cisco password 0 cisco ip domain-name mydomain.com crypto key generate rsa

ip ssh version 2

line vty 0 4

login local

transport input telnet

Чтобы протестировать аутентификацию SSH, необходимо добавить к предыдущему сценарию инструкцию для включения SSH. Затем протестируйте SSH со станций PC и UNIX.

Если необходимо запретить подключение по всем протоколам, кроме SSH, добавьте команду transport input ssh для линии, чтобы ограничить средства подключения к коммутатору протоколом SSH. Прямое Telnet-подключение (не SSH) будет отклоняться.

line vty 0 4

!--- Prevent non-SSH Telnets.

transport input ssh

Протестируйте конфигурацию, чтобы удостовериться, что пользователи других протоколов (кроме SSH) не могут применять Telnet для получения доступа

к коммутатору.

Настройка безопасности порта

В этом разделе описывается настройка безопасности порта.

Настройка безопасности порта

Cisco Catalyst 2960

SwitchX(config-if)#switchport port-security [ mac-address mac-address | mac-address sticky [mac-address] | maximum value | violation {restrict | shutdown}]

SwitchX(config)#interface fa0/5

SwitchX(config-if)#switchport mode access

SwitchX(config-if)#switchport port-security

SwitchX(config-if)#switchport port-security maximum 1

SwitchX(config-if)#switchport port-security mac-address sticky

SwitchX(config-if)#switchport port-security violation shutdown

Функцию безопасности порта можно использовать, чтобы ограничить подключение к интерфейсу путем ограничения и идентификации МАС-адресов станций, которым разрешен доступ к порту. После назначения безопасных МАСадресов защищенному порту, он не будет пересылать пакеты с адресами источника, не входящими в группу заданных адресов.

Примечание Перед включением защиты порта, необходимо перевести его в режим доступа,

используя команду switchport mode access.

На коммутаторе серии Cisco Catalyst 2960, используйте команду switchport port-security без ключевых слов, чтобы включить защиту порта на интерфейсе. Используйте команду интерфейса switchport port-security с ключевыми словами, чтобы настроить безопасный МАС-адрес, максимальное число безопасных МАС-адресов или режим безопасности. Используйте версию no с этой командой, чтобы отключить защиту порта или вернуться к параметрам по умолчанию.

Примечание Чтобы активировать защиту порта, необходимо перевести его в режим доступа.

Вы можете добавить безопасные адреса в таблицу адресов после того, как установите максимальное число безопасных МАС-адресов, разрешенных на порту. Это можно сделать следующими способами:

Настроить все адреса вручную (switchport port-security mac-address 0008.eeee.eeee).

Позволить порту динамически настраивать все адреса (switchport portsecurity mac-address sticky).

Настроить несколько МАС-адресов и разрешить автоматическую настройку остальных адресов.

Вы можете настроить интерфейс на преобразование динамических МАС-адресов в «закрепленные» безопасные МАС-адреса и добавление этих адресов в текущую конфигурацию, включив функцию sticky learning. Чтобы включить функцию sticky learning, введите команду конфигурации интерфейса switchport port-security mac-address sticky. После ввода этой команды, интерфейс будет преобразовывать все динамические МАС-адреса в безопасные, включая адреса, которые были динамически получены до включения функции sticky learning, в «закрепленные» безопасные МАС-адреса.

Закрепленные безопасные МАС-адреса не добавляются в файл загрузочной конфигурации (который применяется при каждом перезапуске коммутатора). Если вы сохраните закрепленные безопасные МАС-адреса в файле конфигурации, при перезапуске коммутатора интерфейсу не придется повторно получать эти адреса. Если вы не сохраняете конфигурацию, МАС-адреса будут потеряны. Если режим sticky learning отключен, безопасные МАС-адреса преобразуются в динамические безопасные адреса и удаляются из текущей конфигурации. Защищенный порт может иметь от 1 до 132 безопасных адресов. Общее количество безопасных адресов, доступных на коммутаторе составляет 1 024.

Ситуации нарушения режима безопасности:

В таблицу адресов добавлено максимальное число безопасных МАС-адресов, и станция, МАС-адрес которой не зафиксирован в таблице адресов, пытается получить доступ к интерфейсу.

Адрес, полученный или настроенный на одном защищенном интерфейсе, замечен на другом защищенном интерфейсе в той же VLAN.

Примечание Защита порта отключена по умолчанию.

Проверка безопасности порта в Catalyst 2960

SwitchX#show port-security [interface идентификатор интерфейса] [address] [ | {begin | exclude | include} expression]

SwitchX#show port-security interface fastethernet 0/5

В коммутаторе Catalyst 2960 используйте команду show port-security interface в привилегированном режиме EXEC, чтобы вывести параметры безопаности порта, заданные для интерфейса.

Нарушение безопасности происходит, когда защищенный порт получает адрес источника, назначенный другому защищенному порту, или когда порт пробует получить адрес, который превышает ограничение на размер таблицы, установленное с помощью команды switchport port-security maximum.

В таблице перечислены параметры, которые можно использовать с командой show port-security.

Проверка безопасности порта в Catalyst 2960 (прод.)

Используйте команду show port-security address, чтобы вывести безопасные МАС-адреса всех портов. Используйте команду show port-security без ключевых слов, чтобы вывести параметры безопасности порта для коммутатора.

Защита неиспользуемых портов

В этом разделе описывается потребность в защите неиспользуемых портов.

Защита неиспользуемых портов

Незащищенные порты могут представлять брешь в системе безопасности.

Коммутатор, подключенный к неиспользуемому порту, будет добавлен в сеть.

Обеспечьте защиту неиспользуемых портов путем отключения интерфейсов (портов).

Дома незапертая дверь может быть угрозой безопасности. То же самое верно и в отношении неиспользуемых портов коммутатора. Хакер может подключить коммутатор к неиспользуемому порту и, таким образом, подключиться к сети. Поэтому незащищенные порты могут представлять брешь в системе безопасности. Чтобы решить эту проблему, необходимо защитить неиспользуемые порты (интерфейсы), отключив их.

Отключение интерфейса (порта)

SwitchX(config-int)#

shutdown

Чтобы отключить интерфейс, используйте команду shutdown в режиме конфигурации интерфейса.

Чтобы включить интерфейс, используйте версию «no» этой команды.

Чтобы отключить интерфейс, используйте команду shutdown в режиме конфигурации интерфейса. Чтобы включить интерфейс, используйте версию «no» этой команды: no shutdown.