Cisco switch’te konsol, Telnet ve SSH ayarları
Kategori: Cisco

Her Cisco switch üç yoldan yönetilebilir:

  • Konsol: Switch’e doğrudan kabloyla; ağ kesik olsa bile her zaman erişilebilir.
  • Telnet: Uzaktan, ama şifrelemesiz; şifre ve komutlar ağda düz metin olarak dolaşır.
  • SSH: Uzaktan ve şifreli; standart ve önerilen yöntem.

Bu makalede üçünü de ayarlıyor, sonunda Telnet’i kapatıyoruz.

Adım 1: Konsol bağlantısı

Konsol kablosunu switch’in Console portuna takın ve PuTTY ya da benzeri bir programda şu ayarlarla bir Serial bağlantı açın: hız 9600, 8 veri biti, parity yok, 1 stop biti ve akış kontrolü yok. Windows’ta port numarasını (örneğin COM3) Aygıt Yöneticisi’nden bulun.

Konsol hattının şifresi ve ayarları

Switch> enable
Switch# configure terminal
Switch(config)# hostname SW1
SW1(config)# enable secret Str0ng-Enable-Pass
SW1(config)# line console 0
SW1(config-line)# password C0nsole-Pass
SW1(config-line)# login
SW1(config-line)# exec-timeout 5 0
SW1(config-line)# logging synchronous
SW1(config-line)# exit
  • exec-timeout 5 0 beş dakikalık hareketsizlikten sonra oturumu kapatır; biri kabloyu takılı bırakırsa açık oturum kalmaz.
  • logging synchronous, sistem mesajlarının yazdığınız komutun ortasına girmesini engeller.

Tek bir ortak şifre yerine kullanıcı tanımlayıp konsolu da kullanıcı girişiyle korumak daha iyidir. Bunu 3. adımda kullanıcıyı oluşturduktan sonra yapıyoruz.

Adım 2: Yönetim adresi

Uzaktan erişim için switch’in bir VLAN arayüzünde (SVI) IP adresi olmalıdır. Yönetim için ayrı bir VLAN olması en iyisidir; bu örnekte VLAN 100:

SW1(config)# vlan 100
SW1(config-vlan)# name MGMT
SW1(config-vlan)# exit
SW1(config)# interface vlan 100
SW1(config-if)# ip address 192.168.100.11 255.255.255.0
SW1(config-if)# no shutdown
SW1(config-if)# exit
SW1(config)# ip default-gateway 192.168.100.1

VLAN 100, ana switch’e giden trunk’ta izinli olmalıdır. ip routing etkin olan katman 3 switch’te ip default-gateway yerine varsayılan rota (ip route 0.0.0.0 0.0.0.0 ...) kullanın.

Adım 3: Telnet (yalnızca tanımak için)

Telnet basittir, ama şifreleme olmadığı için yalnızca laboratuvarda ya da tamamen ayrı bir ağda kullanın:

SW1(config)# line vty 0 15
SW1(config-line)# password Vty-Pass
SW1(config-line)# login
SW1(config-line)# transport input telnet

vty hatlarında password ve login yoksa switch Telnet girişine izin vermez. Bir sonraki adımda bu hatları SSH’ye çeviriyoruz.

Adım 4: SSH

Ön koşullar

SSH yalnızca şifreleme özelliği olan IOS sürümlerinde çalışır (IOS dosya adında genellikle k9 bulunur). Sürümü show version ile görün.

Anahtar oluşturma ve SSH’yi etkinleştirme

SW1(config)# ip domain-name corp.local
SW1(config)# username admin privilege 15 secret Adm1n-Str0ng-Pass
SW1(config)# crypto key generate rsa modulus 2048
SW1(config)# ip ssh version 2
SW1(config)# ip ssh time-out 60
SW1(config)# ip ssh authentication-retries 3
  • RSA anahtarı oluşturmak için hostname ve ip domain-name gerekir; hostname’i 1. adımda ayarladık.
  • 768 bitten küçük anahtarlar SSH sürüm 2’ye izin vermez; 2048 bit güvenli bir seçimdir.
  • SSH sürüm 1’in güvenlik açıkları vardır; her zaman ip ssh version 2 yazın.

Yalnızca SSH için vty hatları

SW1(config)# line vty 0 15
SW1(config-line)# no password
SW1(config-line)# login local
SW1(config-line)# transport input ssh
SW1(config-line)# exec-timeout 10 0
SW1(config-line)# exit
  • login local, switch’te tanımlı kullanıcı adı ve şifreyle giriş demektir.
  • transport input ssh, Telnet’in artık kabul edilmediği anlamına gelir.

Şimdi konsolu da aynı kullanıcıyla koruyun:

SW1(config)# line console 0
SW1(config-line)# login local

Erişimi yönetim ağıyla sınırlama

SSH ile bile, switch’e yalnızca BT ekibinin bilgisayarlarının bağlanabilmesi daha iyidir:

SW1(config)# access-list 10 permit 192.168.100.0 0.0.0.255
SW1(config)# line vty 0 15
SW1(config-line)# access-class 10 in
SW1(config-line)# end
SW1# copy running-config startup-config

Adım 5: Test

Switch’te SSH durumu:

SW1# show ip ssh
SW1# show ssh

show ip ssh çıktısı SSH Enabled - version 2.0 göstermelidir. Yönetim bilgisayarından PuTTY ile (bağlantı türü SSH) ya da Windows ve Linux komut satırından bağlanın:

ssh admin@192.168.100.11

Çalışmazsa

  • % Please define a domain-name first mesajı: Anahtarı oluşturmadan önce ip domain-name ayarlayın.
  • SSH bağlantısı reddediliyor: vty hatlarında transport input ssh ya da login local yok veya RSA anahtarı oluşturulmamış.
  • Switch adresine ping gitmiyor: Yönetim VLAN arayüzü shutdown durumunda, VLAN trunk’ta izinli değil ya da default-gateway yanlış.
  • Eski istemciler bağlanamıyor: Eski IOS yeni algoritmaları desteklemez; istemcinin güvenliğini düşürmek yerine IOS’u güncelleyin.
  • Kendinizi dışarıda bıraktınız: Konsol kablosuyla yine girebilirsiniz. En kötü durumda Cisco switch şifresini sıfırlama makalesine bakın.

İlk kurulum ve acil durumlar için konsol, günlük yönetim için SSH, Telnet ise yalnızca laboratuvar için. Ayrı bir yönetim VLAN’ı, yerel kullanıcı, SSH sürüm 2 ve access-class kısıtlamasıyla switch yönetimi hem kolay hem güvenli olur. Sonraki sıkılaştırma adımları için Cisco switch sıkılaştırma makalesini okuyun.

  • Cisco
  • SSH
  • Telnet
  • Konsol
  • Switch