Улучшение

Они предназначены для повышения производительности продуктов SSH:

• SSH-over- SCTP: поддержка SCTP, а не TCP, как связь ориентирован протокол транспортного уровня ^[12]

• ECDSA: поддержка эллиптической кривой DSA, а не DSA или RSA для подписания ^[13]

• ECDH: поддержка для эллиптических кривых Диффи-Хеллмана, а не просто Диффи-Хеллмана для шифрования обмена ключами. ^[13]

• UMAC: поддержка UMAC, а не HMAC для MAC / целостности

Контрольные вопросы:

1. Что такое telnet?

2. На каком уровне в OSI/ISO работает telnet?

3. Можно ли использовать Telnet на любом компьютере?

4. Является ли Telnet единственным способом подключения к другому компьютеру?

5. Что такое SSH?

6. На каком уровне в OSI/ISO работает SSH?

7. Какие аналоги SSH существуют?

8. Чем R утилиты отличаются от SSH?

9. Для каких задач администрирования используется SSH?

10. Какое программное обеспечение необходимо для работы SSH?

11. Для чего применяют шифрование данных, которые передают

12. в сети?

Лабораторное задание

Часть 1

Настройка протоколов telnet, SSH в Cisco Packet Tracer

1. Постройте сеть указанную на рисунке 4.1, самостоятельно адресацию и настроив порты маршрутизаторов.

Рисунок 4.1 – Исходная сеть

Для примера настроим левый сегмент сети (РС0 и Router0)

Настраиваем IP-адрес компьютера через Desktop.

Настраиваем IP-адрес маршрутизатора.

Команда для перехода в режим конфигурации интерфейса FastEthernet 0/0:

Router(config)# interface fa0/0

По умолчанию все интерфейсы отключены (состояние administratively down). Включаем интерфейс:

Router(config-if)#no shutdown

Настроим IP-адрес:

Router(config-if)#ip address 192.168.1.1 255.255.255.0

shutdown — означает “выключить интерфейс”. Соответственно, если вы хотите отменить действие команды, то используйте слово no перед ней. Это правило общее для CLI и применимо к большинству команд.

2. Проверьте работоспособность сети (отправте сообщения из каждого устройства каждому).

3 Настройка доступа по Telnet

Из этого-то режима мы и настроим интерфейс для подключения компьютера через telnet:

И пробуем подключиться, выбрав Command Prompt в панели Desktop:

PC>telnet 192.168.1.1

Как и ожидалось, циска не пускает без пароля. В реальной жизни обычно выдаёт фразу “Password required, but none set”

Пароли

Подключение по telnet или ssh называется виртуальным терминалом (vt) и настраивается следующим образом:

Router(config)#line vty 0 4

Router(config-line)#password <i>cisco</i>

Router(config-line)#login

0 4 — это 5 пользовательских виртуальных терминалов = telnet сессий.

Этого уже достаточно, чтобы попасть в пользовательский режим, но недостаточно для привилегированного режима:

Настроим пароль для enable-режима:

Router(config)#enable secret <i>test</i>

Чем отличается secret от password? Примерно тем же, чем ssh от telnet. При настройке secret пароль хранится в зашифрованном виде в конфигурационном файле, а password – в открытом. Поэтому рекомендуется использование secret.

Если вы всё-таки задаёте пароль командой password, то следует применить так же service password-encryption, тогда ваш пароль в конфигурационном файле будет зашифрован:

line vty 0 4

password 7 08255F4A0F0A0111

Хотим обратить ваше внимание:

сейчас принятно настраивать доступы не через виртуальные терминалы, а командами#username и #aaa new-model. В версии PT 5.3.2 они уже есть и вполне работают.

Для этого нужно выполнить:

Router(config)#aaa new-model

Router(config)#username admin password 1234

Первая команда служит для активации новой модели ААА (Authentication, Authorization, Accounting). Это нужно для того, чтобы была возможность использовать для аунтетификации на устройстве RADIUS или TACACS сервер. Если отдельно это не настроено, то будет использоваться локальная база пользователей, задаваемая командойusername.

Будьте внимательны: приоритет команды aaa new-model выше, чем команд виртуальных терминалов и поэтому даже несмотря на то, что у вас настроен password в режиме line vty, если у вас не будет пользователей в локальной базе, зайти на устройство удалённо уже не получится.

Теперь при подключении маршрутизатор запросит имя пользователя и соответствующий ему пароль.

При более глубокой настройке line vty существует одна опасность.

Есть такой параметр: access-class. Его настройка позволяет ограничить IP-адреса, с которых возможно подключение.

При работе с access-list'ами и прочими опасными вещами, неправильная настройка которых может лишить вас доступа к устройству, можно использовать замечательную командуreload in min, где min время в минутах. Эта команда перезагрузит устройство по истечении указанного времени, если ее не прервать командой reload cancel.

Ограничить паролем доступ через консольный порт, вам понадобятся команды

Router(config)#line console 0

Router(config-line)#login

Router(config-line)#password <i>cisco</i>

Privilege Level

Ещё один важный момент, которому в статьях уделяют мало внимания: privelege level.

Как понятно из латинского звучания — это уровень прав пользователя. Всего существует 16 уровней: 0-15.

privilege level 0 - это команды disable, enable, exit, help и logout, которые работают во всех режимах

privilege level 1 - Это команды пользовательского режима, то есть как только вы попадаете на циску и увидите приглашение Router> вы имеете уровень 1.

privilege level 15 - Это команды привилегированного режима, вроде, как root в Unix'ах

Установите privelege level 15 и просматрите запишите в протокол последствия.

Router(config)#line vty 0 4

Router(config-line)privilege level 15

После входа на маршрутизатор при такой настройке вы сразу увидите Router# со всеми вытекающими правами.

Все уровни со 2 по 14 настраиваются вручную. То есть, например, вы можете дать добро пользователю с privelege level 2 на выполнение команды show running-config

Пример2

Настроить права для конкретного пользователя поможет уже упомянутая прежде командаusername

Router(config)#username pooruser privilege 2 secret poorpass

Router(config)#privilege exec level 2 show running-config

Router(config)#enable secret level 2 l2poorpass

В первой строке назначаем уровень прав пользователю, во второй команду, разрешенную для этого уровня, в третьей задаём пароль для входа в привилегированный режим с этим уровнем.

После этого из пользовательского режима вы можете выполнить команду enable 2 и введя пароль l2poorpass попасть в привилегированный режим, в котором будут доступны все команды уровня 1 + команды уровня 2.