در این مطلب هم روش کلاسیک تعویض پورت Telnet با rotary را توضیح می‌دهیم، هم روش درست امروز یعنی SSH روی پورت دلخواه ، و مجموعه تنظیماتی که خطوط VTY روتر و سوئیچ سیسکو را واقعاً امن می‌کند.

چرا Telnet باید بسته شود

Telnet همه چیز، از جمله یوزر و رمز، را متن ساده روی شبکه می‌فرستد. هر کسی که مسیر ترافیک را ببیند، رمز شما را هم می‌بیند. راهنمای رسمی Harden Cisco IOS Devices صریح توصیه می‌کند به‌جای Telnet و rlogin از transport input ssh استفاده کنید. اگر هنوز دستگاهی دارید که فقط Telnet دارد (مثلاً IOS خیلی قدیمی بدون ایمیج k9)، آن را فقط از شبکه مدیریت جدا و با ACL در دسترس بگذارید و برای آپگرید برنامه داشته باشید.

پایه کار: فعال کردن SSH نسخه ۲

R1(config)# hostname R1
R1(config)# ip domain name shabake.local
R1(config)# crypto key generate rsa modulus 2048
R1(config)# ip ssh version 2
R1(config)# ip ssh time-out 60
R1(config)# ip ssh authentication-retries 3
R1(config)# username netadmin privilege 15 algorithm-type scrypt secret N3w-Str0ng-Pass
!
R1(config)# line vty 0 15
R1(config-line)# login local
R1(config-line)# transport input ssh
R1(config-line)# exec-timeout 10 0

برای SSH ، روتر به hostname ، domain name و کلید RSA نیاز دارد. اندازه کلید را حداقل ۲۰۴۸ بیت بگیرید. تعداد خطوط VTY بسته به مدل و نسخه IOS فرق دارد؛ با line vty ? ببینید.

SSH روی پورت دلخواه

IOS برای گوش دادن SSH روی پورتی غیر از 22 از rotary group استفاده می‌کند: پورت را به یک گروه rotary نسبت می‌دهید و همان گروه را روی خطوط VTY فعال می‌کنید. این قابلیت طبق راهنمای SSH Terminal-Line Access از IOS 12.2(2)T به بعد وجود دارد.

R1(config)# ip ssh port 2222 rotary 1
R1(config)# line vty 0 15
R1(config-line)# rotary 1
R1(config-line)# transport input ssh
R1(config-line)# access-class MGMT-SSH in
!
R1(config)# ip access-list extended MGMT-SSH
R1(config-ext-nacl)# permit tcp 10.10.99.0 0.0.0.255 any eq 2222
R1(config-ext-nacl)# deny   ip any any log

بعد از این تنظیم، از کلاینت با پورت جدید وصل شوید (مثلاً ssh -p 2222 netadmin@203.0.113.10). توجه کنید که با فعال بودن rotary ، سوئیچ ممکن است همچنان روی پورت 22 هم گوش دهد؛ ACL روی VTY و ACL ورودی اینترفیس WAN است که پورت‌های ناخواسته را واقعاً می‌بندد. روی پلتفرم‌های IOS XE رفتار این قابلیت را پیش از اعمال در شبکه عملیاتی با یک تست ساده تأیید کنید.

روش کلاسیک: تعویض پورت Telnet با rotary

اگر به هر دلیلی مجبور به استفاده از Telnet هستید (مثلاً دستگاه قدیمی در شبکه ایزوله)، با rotary N روی خطوط VTY ، آن خطوط روی پورت 3000+N هم گوش می‌دهند؛ یعنی rotary 1 روی پورت 3001. با یک ACL ، ورود از پورت 23 را می‌بندیم و فقط پورت جدید را باز می‌گذاریم:

R1(config)# ip access-list extended TELNET-3001
R1(config-ext-nacl)# permit tcp 10.10.99.0 0.0.0.255 any eq 3001
R1(config-ext-nacl)# deny   ip any any
R1(config)# line vty 0 4
R1(config-line)# rotary 1
R1(config-line)# access-class TELNET-3001 in

تست از یک روتر دیگر:

Core# telnet 10.10.99.1
Trying 10.10.99.1 ...
% Connection refused by remote host
Core# telnet 10.10.99.1 3001
Trying 10.10.99.1, 3001 ... Open
User Access Verification
Username:

مقابله با حدس رمز و ثبت تلاش‌ها

IOS مجموعه‌ای از دستورها به نام Login Enhancements دارد که حمله حدس رمز را کند و قابل ردیابی می‌کند:

R1(config)# login block-for 120 attempts 5 within 60
R1(config)# login quiet-mode access-class MGMT-SSH
R1(config)# login delay 3
R1(config)# login on-failure log
R1(config)# login on-success log
R1(config)# aaa new-model
R1(config)# aaa authentication login default local-case
R1(config)# aaa authentication attempts login 3
R1(config)# aaa local authentication attempts max-fail 5

بنر هشدار

یک بنر رسمی پیش از ورود، از نظر حقوقی به شما کمک می‌کند و مهاجم را از غیرمجاز بودن دسترسی آگاه می‌کند. در بنر اطلاعات دستگاه (مدل، نسخه، نام سازمان) را ننویسید:

R1(config)# banner login ^
Authorized access only. All activity is logged and monitored.
^

بررسی

پرسش‌های متداول

عوض کردن پورت کافی است؟
نه. فقط ربات‌هایی را که پورت‌های پیش‌فرض را اسکن می‌کنند کم می‌کند. امنیت واقعی از SSH ، ACL روی VTY و منبع مجاز، و رمز قوی می‌آید.

بهتر نیست مدیریت را کلاً از اینترنت ببندیم؟
بله. بهترین حالت این است که مدیریت فقط از VPN یا شبکه مدیریت داخلی ممکن باشد و هیچ پورت مدیریتی روی IP عمومی باز نباشد.

پورت 3001 از کجا آمد؟
در IOS ، خطوطی که عضو rotary group N هستند برای Telnet روی پورت 3000+N گوش می‌دهند.

منابع رسمی

• Cisco Guide to Harden Cisco IOS Devices
• Secure Shell Configuration Guide – SSH Terminal-Line Access

مطالب مرتبط: ایمن‌سازی روتر سیسکو و Control Plane و حفاظت از منابع روتر.

مشاوره با AKA NET

برای Hardening دسترسی مدیریتی روترها و سوئیچ‌ها و راه‌اندازی احراز هویت متمرکز با آکانت (AKA NET) تماس بگیرید.