Line vty 0 4 что это

Line vty 0 4 что это

Cisco VTY — виртуальный интерфейс, с помощью которого можно обеспечить удаленный доступ к устройству. Оборудование Cisco поддерживает не менее 16 одновременных подключений по виртуальному интерфейсу.

Для того что бы посмотреть конфигурацию терминальных линий достаточно в консоли набрать show line.

2509#show line Tty Typ Tx/Rx A Modem Roty AccO AccI Uses Noise Overruns Int 0 CTY - - - - - 0 0 0/0 - 1 TTY 9600/9600 - - - - - 0 0 0/0 - 2 TTY 9600/9600 - - - - - 0 0 0/0 - 3 TTY 9600/9600 - - - - - 0 0 0/0 - 4 TTY 9600/9600 - - - - - 0 0 0/0 - 5 TTY 9600/9600 - - - - - 0 0 0/0 - 6 TTY 9600/9600 - - - - - 0 0 0/0 - 7 TTY 9600/9600 - - - - - 0 0 0/0 - 8 TTY 9600/9600 - - - - - 0 0 0/0 - 9 AUX 9600/9600 - - - - - 0 0 0/0 - 10 VTY - - - - - 0 0 0/0 - 11 VTY - - - - - 0 0 0/0 - 12 VTY - - - - - 0 0 0/0 - 13 VTY - - - - - 0 0 0/0 - 14 VTY - - - - - 0 0 0/0 - 2509#

Линейный тип CTY — это консольный порт. На любом маршрутизаторе он отображается в конфигурации маршрутизатора как строка con 0 и на выходе команды show line в виде cty. Консольный порт в основном используется для локального доступа к системе с помощью консольного терминала.

Строки TTY представляют собой асинхронные линии, используемые для входящих или исходящих модемов и соединений терминала, и их можно увидеть в конфигурации маршрутизатора или сервера доступа в виде строки x. Конкретные номера строк являются функцией аппаратного обеспечения, встроенного или установленного на маршрутизаторе или сервере доступа.

AUX-линия — это вспомогательный порт, который отображается в конфигурации как линия aux 0.

Строки VTY — это линии виртуального терминала маршрутизатора, используемые исключительно для управления входящими соединениями Telnet, SSH и rlogin с маршрутизатором. Они являются виртуальными, в том смысле, что они являются функцией программного обеспечения — нет оборудования, связанного с ними. Они отображаются в конфигурации как строка vty 0 4.

Использование защиты паролем для управления или ограничения доступа к интерфейсу командной строки (CLI) вашего маршрутизатора является одним из основных элементов общего плана безопасности. Каждый из этих типов линий может быть настроен с защитой паролем.

Для того, чтобы обеспечить возможность удаленного подключения к устройству, из режима глобальной конфигурации необходимо задать VTY с помощью команды line vty 0 15, где 0 и 15 обозначают диапазон значений, которые присваиваются каждой активной сессии – от нуля до пятнадцати.

Например нам нужно предоставить удалённый доступ к устройству по SSH.

line vty 0 15 privilege 15 login password cisco transport input ssh

В итоге при попытке удаленного подключения, система запросит аутентификацию.

• line vty 0 15 — означает что мы можем иметь до 16 одновременных подключений
• privilege level — отвечает за уровень полномочий (от 1 до 15), которыми будет наделен пользователь, набравший пароль cisco
• login — отвечает за саму возможность аутентификации
• password — сам пароль «cisco»
• transport input ssh — разрешает трафик SSH

Виды паролей Cisco

Для защиты устройств cisco от несанкционированного доступа используется несколько видов паролей. В курсе CCNA рассматривается настройка паролей на консоль, паролей на подключение по telnet и ssh, а так же пароль для доступа в привилегированный режим работы устройства. Пароли настраиваются одинаковым образом для маршрутизаторов и коммутаторов.

Пароль на консоль

При подключении к устройству через консольный провод необходимо ввести пароль. По умолчанию пароль на консоль отсутствует. Надо понимать, что физическая безопасность устройства наиболее важный аспект защиты, так как имея физический доступ к консольному порту, даже не зная пароля его можно сбросить. Подробнее об этом в статье «Сброс пароля на маршрутизаторе Cisco». Пароль на консоль задаётся следующим образом:

Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#line console 0 Router(config-line)#password MyPassword Router(config-line)#login Router(config-line)#exit Router(config)#exit Router#

Необходимо зайти в режим глобальной конфигурации, зайти в подрежим настройки консоли (line console 0), где 0 – это порядковый номер консоли. Обычно на всех устройствах консольный порт один и он имеет номер 0. В этом подрежиме задаётся пароль с помощью команды password, затем необходимо ввести слово login, чтобы разрешить вход под указанным паролем. После этого при подключении по консоли будет выводиться следующее приглашение:

Press RETURN to get started. User Access Verification Password:

Где требуется ввести указанный пароль. При вводе символы пароля не отображаются.

Пароль на Telnet и SSH

Доступ по протоколам telnet или ssh может быть осуществлён только после того как на устройстве настроен какой-то ip-адрес, а так же заданы пароли. В этом важное отличие от доступа по консоли. Если пароли не заданы, то по консоли можно зайти без пароля, а по Telnet или SSH зайти нельзя – будет выдано сообщение, что пока нет пароля, удалённый вход запрещён.

Задаются пароли следующим образом:

Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#line vty 0 4 Router(config-line)#password MyPassword Router(config-line)#login Router(config-line)#exit Router(config)#exit Router#

Процедура аналогична настройке пароля на консоль, только действия выполняются не в режиме конфигурирования консоли (con 0), а в режиме настройки виртуальных терминалов (vty 0 4), где цифры «0» и «4» следует трактовать как «Перейти в подрежим конфигурирования всех виртуальных терминалов с нулевого по четвёртый». Обычно для telnet-а используются именно эти 5 виртуальных терминалов. Если один терминал занят подключением, то человек подключится к следующему свободному. Этот же пароль будет работать и для доступа по SSH, если сам SSH настроен.

Пароль на привилегированный режим

Этот важный пароль используется для перехода из пользовательского режима в привилегированный. Подробнее о режимах можно прочесть в соответствующей статье. При входе на устройство, независимо от того, делаем мы это через VTY или через консоль, мы попадаем в пользовательский режим. Далее можно осуществить переход в привилегированный. Если задан пароль на привилегированный режим, то его потребуется ввести, если не задан – то всё зависит от того способа, по которому мы подключились к устройству. При подключении по консоли и отсутствующем пароле на enable, переход в привилегированный режим произойдёт без ввода пароля, если же доступ осуществляется через Telnet или SSH, то без пароля на enable, нас в этот режим не пустят если пароль не задан. По этой причине начальная настройка маршрутизатора всегда производится через консоль и должна включать в себя задание всех необходимых паролей.

Пароль на enable можно задать двумя разными командами обе из которых вводятся в режиме глобальной конфигурации:

Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#enable password MyEnablePassword Router(config)#exit Router#

Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#enable secret SecretPassword Router(config)#exit Router#

Обе команды вводить не надо. Либо enable password, либо enable secret. Разница между ними заключается в том, что вторая команда сохраняет пароль в зашифрованном виде и его нельзя восстановить глядя на файл конфигурации. Если же применять enable password, то пароль храниться в конфиге в открытом виде. Таким образом, лучше всегда использовать enable secret, а enable password – скорее сохранена с целью обратной совместимости между версиями IOS. Если вы вдруг примените обе команды одновременно, то будет работать тот пароль, который задан с помощью enable secret.

Чтобы было понятно, о чём идёт речь, давайте просмотрим конфигурацию устройства с помощью команды show running-config:

Router#show running-config Building configuration. Current configuration : 592 bytes ! version 12.4 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname Router ! ! ! enable secret 5 $1$mERr$KnP4XAeHLfyk/RPXMCetr0 enable password MyEnablePassword …

Как видно из вывода, пароль, заданный enable password виден открытым текстом, а с помощью enable secret – не виден.

Служба шифрования паролей

В любом случае, пароли, заданный для доступа по telnet или через консоль видны открытым текстом, ниже приведён кусок вывода команды show running-config:

Router#show running-config … line vty 0 4 password MyPassword login …

Для того, чтобы скрыть и эти пароли надо включить службу шифрования паролей:

Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#service password-encryption Router(config)#exit Router# %SYS-5-CONFIG_I: Configured from console by console Router#show running-config Building configuration. … enable secret 5 $1$mERr$KnP4XAeHLfyk/RPXMCetr0 enable password 7 080C556B0718071B173B0D17393C2B3A37 … line vty 0 4 password 7 080C557E080A16001D1908 login …

Как видно, после применения команды service password-encryption, все пароли в конфигурационном файле, включая enable password, пароль на консоль и пароль на telnet, начинают храниться в зашифрованном виде. Эту команду рекомендуется всегда включать в базовую настройку устройств cisco.

Доступ к маршрутизатору Cisco

На этой странице описывается настройка доступа к коммутаторам и маршрутизаторам Cisco.

[править] Telnet

Настройка доступа telnet без пароля:

dyn1(config)# line vty 0 15 dyn1(config-line)# no login

При подключении сразу попасть в привилегированный режим:

dyn1(config)# line vty 0 15 dyn1(config-line)# privilege level 15

[править] ACL

Для ограничения доступа к маршрутизатору по протоколу telnet можно использовать ACL и применить их к vty.

Например, настроен ACL, который разрешает подключаться к маршрутизатору по telnet только с адреса 4.4.4.4:

dyn5(config)# access-list 10 permit 4.4.4.4 dyn5(config)# line vty 0 4 dyn5(config-line)# access-class 10 in

Подключившись по telnet, например, с адреса 4.4.4.4 к маршрутизатору dyn5, можно затем из этой сессии инициировать telnet сессию к другому маршрутизатору. Для того чтобы контролировать куда можно подключаться изнутри сессии telnet необходимо настроить ACL в исходящем направлении. Например, подключившись к маршрутизатору dyn5 по telnet, инициировать исходящую сессию telnet можно будет только на адрес 1.1.1.1:

dyn5(config)# access-list 11 permit 1.1.1.1 dyn5(config)# line vty 0 4 dyn5(config-line)# access-class 11 out

Если выполняется попытка подключиться к неразрешенному адресу, то появляется такое сообщение:

dyn5# telnet 192.168.1.1 Trying 192.168.1.1 . % Connections to that host not permitted from this terminal

[править] Дополнительные параметры при подключении telnet

Обычно при подключении telnet маршрутизатор в качестве адреса отправителя выбирает адрес интерфейса, который ближе всего к получателю. Однако это поведение можно изменить, как для конкретной сессии, так и в принципе для всех подключений telnet.

Указание интерфейса для текущей сессии telnet:

dyn1# telnet 192.168.2.5 /source-interface lo0

Указание интерфейса для всех сессий telnet:

dyn1(config)# ip telnet source-interface lo0

[править] Разрыв соединения

Настройка таймаута после которого, независимо от активности, пользователь будет отключен (в минутах):

dyn1(config)# line vty 0 15 dyn1(config-line)# absolute-timeout 10

Отображение предупреждающего сообщения за 30 секунд до того как сессия будет разорвана из-за истечения интервала absolute-timeout:

dyn1(config)# line vty 0 15 dyn1(config-line)# logout-warning 30

dyn3# telnet 192.168.2.1 Trying 192.168.2.1 . Open User Access Verification Username: user1 Password: dyn1# * * * Line timeout expired * * [Connection to 192.168.2.1 closed by foreign host]

[править] Предотвращение залипания соединений

Для очистки зависших Telnet сессий используется механизм TCP-keepalives
Зачем это нужно? Порой возникают залипшие соединения сессий telnet. И при последующих попытках соединений — оно не устанавливается, при этом выдается сообщение «Connection refused by remote host» Для предотвращения данной ситуации в конфигурацию роутера необходимо внести изменения:

Router# conf t Router(config)# service tcp-keepalives-in Router(config)# service tcp-keepalives-out

[править] Настройка нестандартных портов для telnet и привязка к конкретной vty

Указание нестандартного порта для telnet:

router(config)# line vty 3 router(config-line)# rotary 3

После указания rotary 3 для того чтобы попасть по telnet на vty 3, надо заходить на порт 3000+3.

Пример конфигурации маршрутизатора:

hostname dyn5 ! username cisco password 0 cisco ! interface FastEthernet0/0 ip address 192.168.5.5 255.255.255.0 ! ! line vty 0 2 login local line vty 3 login local rotary 3 !

Подключение с соседнего маршрутизатора (к порту 3000+rotary):

dyn3# telnet 192.168.5.5 3003 Trying 192.168.5.5, 3003 . Open User Access Verification Username: cisco Password: dyn5>

Пользователь подключился к vty 3:

dyn5#sh users Line User Host(s) Idle Location * 0 con 0 idle 00:00:00 5 vty 3 cisco idle 00:01:08 192.168.5.3 Interface User Mode Idle Peer Address

[править] SSH

Имя домена (необходимо для генерации ключей):

ip domain-name xgu.ru

Создание пары ключей:

crypto key generate rsa modulus 1024

Включение SSH версии 2:

ip ssh version 2

Создание пользователя в локальной базе:

username admin secret cisco123

line vty 0 4 login local transport input ssh

[править] Настройка нестандартных портов для SSH и привязка к конкретной vty

Изменение порта SSH для определенной линии vty:

router(config)# ip ssh port 2009 rotary 9

Настройка соответствия vty и rotary:

router(config)# line vty 4 router(config-line)# rotary 9

Пример конфигурации маршрутизатора:

hostname dyn5 ! ip domain name unix.nt ip ssh port 2009 rotary 9 ip ssh version 2 ! username cisco password 0 cisco ! interface FastEthernet0/0 ip address 192.168.5.5 255.255.255.0 ! ! line vty 0 3 login local line vty 4 login local rotary 9 !

Подключение с соседнего маршрутизатора (к порту 2009):

dyn3# ssh -l cisco -p 2009 192.168.5.5 Password: dyn5>

Пользователь подключился к vty 4:

dyn5#sh users Line User Host(s) Idle Location * 0 con 0 idle 00:00:00 6 vty 4 cisco idle 00:00:01 192.168.5.3 Interface User Mode Idle Peer Address

Ограничение числа сессий ssh ip ssh maxstartups Пример: ограничим 2 сессиями

Router(config)#ip ssh maxstartups 2

Ограничение времени timeoutá (по-умолчанию 300 секунд)ip ssh time-out
SSH сервер прерывает соединение, если не передаются никакие данные в течение этого времени ожидания.
Пример:

Router(config)#ip ssh time-out 60

Указание интерфейса для всех сессий ssh

Router(config)#ip ssh source-interface FastEthernet0/1

Включение журналирования событий SSH ip ssh logging events

Router(conifig)#ip ssh logging events

Указание версии использования протокола ip ssh version версия Пример:

Router(config)#ip ssh version 2

Указание, какой ключ должен использоваться при соединении:

sm-c2821(config)#ip ssh rsa keypair-name xgu.ru

[править] Работа с сессиями

[править] Исходящие сессии Telnet и SSH

Инициировать сессию telnet:

router# telnet
router#

router# telnet 192.168.1.1

router# 192.168.10.1

Исходящие сессии SSH:

router# ssh -l

[править] Приостановка и мониторинг исходящих сессий

Приостановить сессию: Ctrl+Shift+6 и потом x.

Показать исходящие сессии:

router# show sessions

router# where

router# where Conn Host Address Byte Idle Conn Name 1 192.168.1.1 192.168.1.1 0 0 192.168.1.1 * 2 192.168.10.1 192.168.10.1 0 0 192.168.10.1 router# show sessions Conn Host Address Byte Idle Conn Name 1 192.168.1.1 192.168.1.1 0 0 192.168.1.1 * 2 192.168.10.1 192.168.10.1 0 0 192.168.10.1

Вернуться в приостановленную сессию:

router# resume
router#

router# resume 2 [Resuming connection 2 to 192.168.10.1 . ] router#1 [Resuming connection 1 to 192.168.1.1 . ]

Завершить исходящую сессию:

router# disconnect

Если с маршрутизатора были открыты сессии, а затем приостановлены, то нажатие ‘Enter’ приводит к тому, что открывается последняя сессия. Для того чтобы сделать перевод строки, без команды и без восстановления последней сессии, необходимо использовать комбинацию ctrl+l.

Или нажать номер несуществующей сессии. После этого ‘Enter’ отрабатывает как обычно:

router#5 % 5 is not an open connection router# router#

[править] Входящие сессии

Показать подключения к локальному маршрутизатору (консоль, telnet, ssh):

router# show users

router# who

router# show users Line User Host(s) Idle Location * 0 con 0 10.0.10.1 00:00:37 514 vty 0 idle 00:01:20 192.168.10.10 Interface User Mode Idle Peer Address router# who Line User Host(s) Idle Location * 0 con 0 10.0.10.1 00:00:46 514 vty 0 idle 00:01:29 192.168.10.10 Interface User Mode Idle Peer Address

Показать сессии ssh:

router# show ssh

[править] Автоматическое выполнение команды

Команда autocommand используется для автоматического выполнения определенной команды после того как пользователь подключился к определенной line:

line vty 6 login local rotary 6 autocommand telnet 10.1.1.1 2009

[править] HTTP

dyn1(config)# ip http server

[править] Ограничение количества соединений

Настройка максимального количества соединений (по умолчанию 5, диапазон от 1 до 16):

dyn1(config)# ip http max-connections 2

[править] Изменение стандартного порта

Изменение стандартного порта HTTP:

dyn1(config)# ip http port 8800

[править] Время жизни соединения

dyn1(config)# ip http timeout-policy idle 180 life 300 requests 50

[править] Ограничение доступа

С помощью ACL можно указать каким хостам разрешен доступ по HTTP на маршрутизатор:

dyn1(config)# access-list 3 permit 192.168.1.10 dyn1(config)# access-list 3 permit 192.168.2.10 dyn1(config)# ip http access-class 3

[править] Аутентификация

Настройка аутентификации по локальной базе пользователей:

dyn1(config)# ip http authentication local

Пример создания пользователей:

dyn1(config)# username user1 password pass dyn1(config)# username user2 password pass

[править] Локальная аутентификация (локальная база пользователей)

Управление правами доступа на основании атрибутов, присвоенных отдельному пользователю.

Когда VPN-пользователи проходят аутентификацию на локальном сервере IOS, то может понадобиться запретить им доступ к CLI.

Настройка AAA (если настроен VPN, то тут могут быть дополнительные настройки):

aaa new-model aaa authentication login default local aaa authorization exec default local

Создание списка атрибутов для запрещения доступа к CLI:

aaa attribute list CLI attribute type service-type noopt service shell mandatory

Назначение списка пользователю:

username xguru secret xguru username xguru aaa attribute list CLI

Если пользователь пытается зайти в CLI маршрутизатора, то выдается ошибка:

dyn2#ssh -l xguru 192.168.103.1 Password: % Authorization failed. [Connection to 192.168.103.1 closed by foreign host]

• Attributes for local user database
• Local AAA server 12.4t
• Understanding IOS Local AAA
• PPTP Cisco

[править] Разграничение доступа пользователям

[править] Уровни привилегий по умолчанию

Команды уровня 0:

dyn1>? Exec commands: disable Turn off privileged commands enable Turn on privileged commands exit Exit from the EXEC help Description of the interactive help system logout Exit from the EXEC

Некоторые команды уровня 1:

dyn1>? Exec commands: clear Reset functions disable Turn off privileged commands disconnect Disconnect an existing network connection enable Turn on privileged commands exit Exit from the EXEC login Log in as a particular user ping Send echo messages resume Resume an active network connection show Show running system information ssh Open a secure shell client connection telnet Open a telnet connection terminal Set terminal line parameters traceroute Trace route to destination where List active connections

[править] Уровни привилегий

Создание пользователя и задание пароля:

dyn1(config)# username user2 password cisco2

Назначение пользователю уровня привилегий:

dyn1(config)# username user2 privilege 2

Задание соответствия между командами и уровнем привилегий:

dyn1(config)#privilege exec level 2 configure dyn1(config)#privilege exec level 2 configure t dyn1(config)#privilege configure level 2 interface dyn1(config)#privilege interface level 2 shutdown dyn1(config)#privilege interface level 2 ip address

Для просмотра уровня своих привилегий используется команда show privilege
Пример:

c1750-sm3>show privilege Current privilege level is 1 c1750-sm3>en Password: c1750-sm3#show privilege Current privilege level is 15

[править] CLI view

router(config)# aaa new-model

Включить root view:

router# enable view

router(config)# parser view

Настроить пароль для view:

router(config-view)# secret

Добавить команды доступные в view:

router(config-view)# commands exec [all] [interface-id|command]

[править] Всякое

[править] Пароли

Задание минимальной длины пароля:

dyn1(config)# security passwords min-length 6

Хранение паролей в виде хеша:

dyn1(config)# service password-encryption

dyn1(config)# no service password-recovery

Если необходимо ввести пароль в котором есть знак ?, то перед знаком необходимо нажать Esc + Q (при подключении пароль надо вводить просто со знаком ?). Например, пароль Cisco??pass надо вводить так: CiscoEsc + Q?Esc + Q?pass

Задание количества разрешенных неудачных попыток логина в минуту. При превышении будет сгенерировано лог-сообщение:

dyn1(config)#security authentication failure rate 3 log

Для задания пароля входа в privileg EXEC level (привилегированный режим) используется команда enable password|secret
Пример:

Router(config)#enable password cisco_en

Следует заметить, что при использовании enable secret будет использоваться кодирования пароля с помощью алгоритма MD5, что повышает безопасность системы в целом

[править] Гарантия выполнения низкоприоритетных задач

При возникновении ситуации высокой загрузки процессора, низкоприоритетные задачи могут не дождаться своей очереди выполнения. По-умолчанию Cisco выделяет 5% процессорного времени для выполнения такого рода задач. Для изменения используется команда scheduler allocate .
Пример:

Router(config)# scheduler allocate 4000 200

Что бы маршрутизатор более живо реагировал на команды в консоли при большой нагрузке. 4000 микросекунд — это время переключения между процессами. 200 микросекунд, это максимальное время, которое выделяет маршрутизатор на выполнение низкоприоритетных задач

[править] Приглашение командной строки

Отключить приглашение командной строки в глобальном конфигурационном режиме:

dyn1(config)# no service prompt config

После выполнения команды, приглашение dyn1(config)# не отображается. При возвращении в режим enable приглашение появляется.

Настройка приглашения режима enable:

dyn1(config)# prompt DYN1-enable-mode

[править] Баннеры

Баннер — это своеобразная вывеска, которая предназначена для сообщения определенной информации, любому, кто пытается получить доступ к маршрутизатору. За рубежом, обычно, сообщается информация о том, кому принадлежит данное коммуникационное оборудование и что может последовать, если в дальнейшем последует несанкционированный доступ либо попытка доступа. Может быть и любая другая информация. К примеру фирма Cisco на новых не сконфигурированных маршрутизаторах сообщает об этом факте. Существует 3 вида баннеров motd, exec, incoming

Создание баннера message-of-the-day (MOTD):

dyn1(config)# banner motd #Hello! I'm $(hostname). You are connected on line $(line) on domain $(domain)#

dyn3# telnet 192.168.1.1 Trying 192.168.1.1 . Open Hello! I'm dyn1. You are connected on line 2 on domain xgu.ru

Для создания баннера необходимо указать ключевое слово banner тип РазделительТекст баннера Разделитель. Разделитель НЕ может содержаться в тексте баннера

Существует возможность динамически добавлять в тело баннера имя хоста или домена, используя регулярные выражения $(hostname) и $(domain).
Пример:

Router#conf t Router(config)#hostname Xgu.ru Xgu.ru(config)#ip domain name xgu.ru Xgu.ru(config)#banner motd C Enter TEXT message. End with the character 'C'. Welcom to $(hostname) contact me at admin@$(domain) for any issues C Xgu.ru(config)# Press RETURN to get started. Welcom to Xgu.ru contact me at admin@$xgu.ru for any issues Xgu.ru>

[править] Создание меню

dyn1(config)# menu user3 title # Menu for user3 #

Текст приглашения по выбору пункта меню:

dyn1(config)# menu user3 prompt #Choose an option and press ENTER: #

Настройка очистки экрана перед выводом меню:

dyn1(config)# menu user3 clear-screen

Ключами для выбора определенного пункта меню могут быть буквы, цифры или строки. Если используются строки, то должен быть настроен режим line-mode:

dyn1(config)# menu user3 line-mode

Создание пунктов меню:

dyn1(config)# menu user3 text 1 Display the routing table dyn1(config)# menu user3 text 2 Configuration of fa0/0 dyn1(config)# menu user3 text 3 Ping dyn3 dyn1(config)# menu user3 text 4 Menu exit

Настройка команд, которые будут выполняться при вызове пункта меню:

dyn1(config)# menu user3 command 1 sh ip route dyn1(config)# menu user3 command 2 sh run int fa0/0 dyn1(config)# menu user3 command 3 ping 192.168.1.3

Для того чтобы пользователь мог выйти из меню, при создании меню необходимо настроить один пункт меню с командой menu-exit:

dyn1(config)# menu user3 command 4 menu-exit

Для пунктов меню, в которых предполагается вывод результата выполнения команды, необходимо задать параметр pause:

dyn1(config)# menu user3 options 1 pause dyn1(config)# menu user3 options 2 pause dyn1(config)# menu user3 options 3 pause

Можно указать какой пункт будет выполняться по умолчанию в случае, если пользователь не выбрал пункт меню и нажал Enter:

dyn1(config)# menu user3 default 4

Отображение строки с информацией о статусе подключения:

Server "dyn1" Line 0 Terminal-type (unknown) Menu for user3 1 Display the routing table 2 Configuration of fa0/0 3 Ping dyn3 4 Menu exit Choose an option and press ENTER:

Настройка автоматического вызова меню при подключении пользователя:

dyn1(config)# username user3 autocommand menu user3

[править] Пример меню и соответствующая конфигурация

Menu for user3 1 Display the routing table 2 Configuration of fa0/0 3 Ping dyn3 4 Menu exit Choose an option and press ENTER:

menu user3 title ^C Menu for user3 ^C menu user3 prompt ^C Choose an option and press ENTER: ^C menu user3 text 1 Display the routing table menu user3 command 1 sh ip route menu user3 options 1 pause menu user3 text 2 Configuration of fa0/0 menu user3 command 2 sh run int fa0/0 menu user3 options 2 pause menu user3 text 3 Ping dyn3 menu user3 command 3 ping 192.168.1.3 menu user3 options 3 pause menu user3 text 4 Menu exit menu user3 command 4 menu-exit menu user3 clear-screen menu user3 status-line menu user3 default 4 menu user3 line-mode

[править] Создание соответствий IP-адрес — имя хоста

dyn1(config)# ip host Dyn4 192.168.1.100

Просмотреть список существующих соответствий:

dyn1# sh hosts Default domain is not set Name/address lookup uses static mappings Codes: UN - unknown, EX - expired, OK - OK, ?? - revalidate temp - temporary, perm - permanent NA - Not Applicable None - Not defined Host Port Flags Age Type Address(es) Dyn4 None (perm, OK) 0 IP 192.168.1.100 dyn3 None (perm, OK) 0 IP 192.168.2.3

[править] Сообщение о недоступности хоста

Настройка сообщения о недоступности хоста при подключении к нему по Telnet:

dyn1(config)# ip host Dyn4 192.168.1.100 dyn1(config)# busy-message Dyn4 #Host is down, try again later#

[править] Спрятать IP-адрес хоста к которому выполняется подключение

Обычно, при подключении к хосту, который в момент подключения доступен, в консоли отображается IP-адрес хоста:

dyn1# telnet dyn3 Trying dyn3 (192.168.2.3). Open

Спрятать IP-адрес хоста к которому выполняется подключение:

dyn1(config)# service hide-telnet-addresses

После этого, при выполнении подключения адрес не отображается:

dyn1# telnet dyn3 Trying dyn3 address #1 . Open

[править] Login enhancement

[править] Настройка блокировки

Настройка периода блокировки хоста, с указанием количества попыток подключения к маршрутизатору в течение указанного периода времени:

router(config)# login block-for attempts within

Пример. Хост будет заблокирован на 60 секунд, если в течение 10 секунд будут 3 неудачные попытки логина:

router(config)# login block-for 60 attempts 3 within 10

sh login A default login delay of 1 seconds is applied. No Quiet-Mode access list has been configured. Router enabled to watch for login Attacks. If more than 3 login failures occur in 10 seconds or less, logins will be disabled for 60 seconds. Router presently in Normal-Mode. Current Watch Window Time remaining: 9 seconds. Login failures for current window: 0. Total login failures: 0.

После нескольких неудачных попыток подключения:

* %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 5 secs, [user: admin] [Source: 192.0.1.2] [localport: 22] [Reason: Login Authentication Failed] [ACL: sl_def_acl] at 13:43:18 UTC Sat May 7 2011 * %SEC-6-IPACCESSLOGP: list sl_def_acl denied tcp 192.0.1.2(39151) -> 0.0.0.0(22), 1 packet router# sh login A default login delay of 1 seconds is applied. No Quiet-Mode access list has been configured. Router enabled to watch for login Attacks. If more than 3 login failures occur in 10 seconds or less, logins will be disabled for 10 seconds. Router presently in Quiet-Mode. Will remain in Quiet-Mode for 40 seconds. Denying logins from all sources. * %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 13:44:18 UTC Sat May 7 2011

[править] Настройка исключений из правила блокировки

router(config)# login quiet-mode access-class

Пример. Исключение хоста 192.0.1.2:

router(config)# access-list 10 permit 192.0.1.2 router(config)# login quiet-mode access-class 10

router# sh login A default login delay of 1 seconds is applied. Quiet-Mode access list 10 is applied. Router enabled to watch for login Attacks. If more than 3 login failures occur in 10 seconds or less, logins will be disabled for 60 seconds. Router presently in Normal-Mode. Current Watch Window Time remaining: 3 seconds. Login failures for current window: 0. Total login failures: 3.

[править] Настройка логирования попыток подключения и задержки между подключениями

Задержка между попытками подключения (по умолчанию 1 секунда):

router(config)# login delay

Пример. Настройка задержки 5 секунд:

router(config)# login delay 5

router# sh login A login delay of 5 seconds is applied. Quiet-Mode access list 10 is applied. Router enabled to watch for login Attacks. If more than 3 login failures occur in 10 seconds or less, logins will be disabled for 60 seconds. Router presently in Normal-Mode. Current Watch Window Time remaining: 4 seconds. Login failures for current window: 1. Total login failures: 13.

Логирование попыток подключения:

router(config)# login on-failure log [every ] router(config)# login on-success log [every ]

router(config)# login on-failure log every 5 router(config)# login on-success log every 3

router# sh login A login delay of 5 seconds is applied. Quiet-Mode access list 10 is applied. Every 3 successful login is logged. Every 5 failed login is logged. Router enabled to watch for login Attacks. If more than 3 login failures occur in 10 seconds or less, logins will be disabled for 60 seconds. Router presently in Normal-Mode. Current Watch Window Time remaining: 3 seconds. Login failures for current window: 0. Total login failures: 24.

[править] Пример настройки

login block-for 10 attempts 4 within 10 login delay 5 login quiet-mode access-class 100 login on-failure log login on-success log

router# sh login A login delay of 5 seconds is applied. Quiet-Mode access list 100 is applied. All successful login is logged. All failed login is logged. Router enabled to watch for login Attacks. If more than 4 login failures occur in 10 seconds or less, logins will be disabled for 10 seconds. Router presently in Normal-Mode. Current Watch Window Time remaining: 4 seconds. Login failures for current window: 0. Total login failures: 0.

[править] Дополнительная информация

Cisco Systems, Inc.
Устройства	Cisco 871 • Cisco Router • Cisco Switch • Сisco Сatalyst • Cisco IPS • Cisco ASA • PIX • Dynamips
Безопасность (коммутаторы и маршрутизаторы)	Cisco Security • Port security • DHCP snooping • Dynamic ARP Protection • IP Source Guard • Аутентификация при доступе к сети • 802.1X в Cisco • Zone-Based Policy Firewall • Cisco NAT • NAT в Cisco • Cisco SSH
Cisco ASA	Cisco ASA/NAT • Cisco ASA/Troubleshooting • Cisco ASA/IPS • Cisco ASA failover • Cisco ASA/Transparent firewall • Cisco ASA/Site-to-Site_VPN • Cisco ASA/Easy_VPN • Cisco ASA/WebVPN • Объединение OSPF-сетей туннелем между двумя системами ASA (без GRE) • Центр сертификатов на Cisco ASA
VPN	IPsec в Cisco • Cisco IOS Site-to-Site VPN • DMVPN • Cisco Easy VPN • Cisco Web VPN • Cisco ipsec preshared
Канальный уровень	CDP • VLAN в Cisco • ISL • VTP • STP в Cisco • Cisco Express Forwarding • Агрегирование каналов • Зеркалирование трафика • QinQ • Frame Relay
Сетевой уровень	Маршрутизация в Cisco • RIP • EIGRP • IS-IS • OSPF • BGP • PIM • Multicast • GLBP • VRRP • HSRP • DHCP • IPv6 • IPv6 vs IPv4 • Резервирование Интернет-каналов без использования BGP • Использование BGP для резервирования Интернет-каналов
Разное	Режим ROMMON в Cisco • Опция 82 DHCP • 802.1X и RADIUS • SNMP в Cisco • QoS в Cisco • EEM • Troubleshooting • Автоматизация работы устройств Cisco • Cisco NTP • Cisco IP SLA • Cisco Enhanced Object Tracking

Line vty 0 4 что это

1.2 Удаленный доступ

Просто поразительно насколько халатно относятся к удаленному доступу большинство системных администраторов. Защита удаленного доступа к оборудованию — один из самых важных пунктов в любой политике безопасности. Данный параграф будет посвящен основным аспектам настройки удаленного доступа

1.2.1 VTY

Прежде чем приступить к описанию методов защиты, необходимо рассмотреть сам процесс организации удаленного доступа. Если вам когда либо приходилось настраивать “удаленку”, то вы обязательно сталкивались с такой аббревиатурой как VTY — Virtual TeletYpe (хотя некоторые считают, что это расшифровывается как virtual terminal, а “y” достался по наследству от tty, применяемого в linux… однозначного ответа я так и не нашел). По-русски говоря это механизм позволяющий получить удаленный доступ к так называемому command line interface (cli), т.е., по сути, к виртуальной консоли устройства. Для подключения к этой самой vty могут использоваться различные протоколы, о которых мы поговорим чуть позже.

Чаще всего в интернете можно встретить следующие инструкции по настройке VTY:
1) Вход по паролю
Router#conf t
Router(config)#line vty 0 4
Router(config-line)#password cisco
Router(config-line)#login

Как видим, в этом случае пароль задается непосредственно для VTY. Если попытаться подключиться с помощью telnet, то увидим следующее:

Router#telnet 192.168.1.1
Trying 192.168.1.1 . Open
User Access Verification
Password:
Никогда не используйте этот метод!
2) Вход по учетной записи (username и password)
Router#conf t
Router(config)#line vty 0 4
Router(config-line)#login local

Здесь уже есть такой параметр как local, что означает использование локальной базы пользователей (т.е. у вас уже должен быть хотя бы один созданный username). При попытке удаленного доступа получим следующее:

Router#telnet 192.168.1.1
Trying 192.168.1.1 . Open
User Access Verification
Username: admin
Password:
Router>

Если ваше устройство не поддерживает функцию aaa new-model, то этот способ более предпочтителен, чем первый, т.к. требуется ввести не только пароль, но и имя пользователя.

Однако оба метода это устаревший вариант настройки. Как было сказано ранее, сейчас рекомендуется использовать aaa new-model. В параграфе по настройке консольного доступа (1.1.4) мы использовали следующие команды:

Router(config)#aaa new-model
Router(config)#aaa authentication login default local

В этом случае, благодаря параметру default мы настроили не только доступ по консоли, но и для vty. При этом мы указали, что нужно использовать локальную базу пользователей (local).

Для настройки удаленного доступа используйте aaa new-model.

Думаю у большинства читателей возникал вопрос, что это за цифры 0 4? К тому же иногда встречаются 0 15. Что это значит? Эти цифры означают всего лишь возможное количество удаленных подключений. Если мы используем vty 0 4, то создается 5 (0,1,2,3,4) виртуальных линий (консолей), к которым могут подключаться пользователи. Если к устройству одновременно попытаются подключиться 6 человек, то последний (шестой) не сможет этого сделать, т.к. все линии будут уже заняты. Используя команду who можно посмотреть кто подключен к устройству и к какой линии.

Изначально оборудование cisco поддерживало именно 5 подключений. Но впоследствии эта цифра была увеличена до 16 (т.е. вариант vty 0 15). Если мы используем метод aaa new-model, то автоматически настраивается максимальное количество виртуальных линий. Если же вы используете login local, указав при этом параметр line vty 0 15, то после настройки в конфигурации можно увидеть следующее:

line vty 0 4
login local
line vty 5 15
login local

Т.е. 16 линий разделились на две группы: 0 4 и 5 15. Зачем это делается, однозначного ответа нет. Скорее всего это сделано для некого разграничения прав при удаленном подключении, однако на практике это редко используется. Как правило 5 виртуальных линий достаточно для любой организации. Дополнительные 11 линий (5 15), могут быть использованы для сторонних сервисов.

Следует заметить, что по умолчанию для удаленного подключения используется протокол Telnet. Кроме него еще существуют SSH и HTTPS. В следующих параграфах мы рассмотрим их более подробно.