2.4.3 Настройка паролей

При первоначальном подключении к устройству вы находитесь в пользовательском режиме EXEC. Этот режим защищен с помощью консоли.

Для обеспечения доступа пользователя в режиме EXEC введите режим конфигурации консоли линии с помощью команды глобальной конфигурации line console 0, как показано в примере. Ноль используется для обозначения первого (а в большинстве случаев — единственного) интерфейса консоли. Затем задайте пароль пользовательского режима EXEC с помощью команды password password. Наконец, включите доступ к пользовательскому режиму EXEC с помощью команды login.

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# line console 0

Sw-Floor-1(config-line)# password cisco

Sw-Floor-1(config-line)# login

Sw-Floor-1(config-line)# login

Sw-Floor-1#

Теперь для доступа к пользовательскому режиму EXEC с консоли будет необходим пароль.

Чтобы иметь доступ администратора ко всем командам IOS, включая настройку устройства, необходимо получить привилегированный доступ режима EXEC. Это самый важный метод доступа, поскольку он обеспечивает полный доступ к устройству.

Для защиты доступа к привилегированному режиму EXEC используйте команду глобальной конфигурации enable secret password.

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# enable secret class

Sw-Floor-1(config)# exit

Sw-Floor-1#

Линии виртуального терминала (VTY) обеспечивают удаленный доступ к устройству через Telnet или SSH. Большинство коммутаторов Cisco поддерживают до 16 линий VTY, пронумерованных от 0 до 15.

Чтобы защитить VTY, войдите в режим line VTY, используя команду глобальной конфигурации line vty 0 15. Затем задайте пароль VTY с помощью команды password password . Наконец, включите доступ к VTY с помощью команды login.

Пример защиты линий VTY на коммутаторе приведен ниже.

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# line vty 0 15

Sw-Floor-1(config-line)# password cisco

Sw-Floor-1(config-line)# login

Sw-Floor-1(config-line)# end

Sw-Floor-1#

2.4.4 Шифрование паролей

Файлы конфигурации startup-config и running-config отображают большинство паролей в виде простого текста. Это создает угрозу безопасности, поскольку при наличии доступа к этим файлам любой пользователь может увидеть пароли.

Чтобы зашифровать все пароли открытого текста, используйте команду глобальной конфигурации service password-encryption, как показано в примере.

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# service password-encryption

Sw-Floor-1(config)#

Команда применяет слабый алгоритм шифрования ко всем незашифрованным паролям. Шифрование применяется только к паролям в файле конфигурации, но не к паролям, которые отправлены по сети. Эта команда не позволяет неавторизованным пользователям прочитать пароли в файле конфигурации.

С помощью команды show running-config убедитесь, что пароли зашифрованы.

Sw-Floor-1(config)# end

Sw-Floor-1# show running-config

!

!

line con 0

password 7 094F471A1A0A

login

!

line vty 0 4

password 7 03095A0F034F38435B49150A1819

login

!

!

end

2.4.5 Баннерные сообщения

Хотя пароли защищают сеть от несанкционированного доступа, необходимо использовать уведомления о том, что лишь авторизованным пользователям можно получить доступ к устройству. Для этого нужно добавить баннер в выходные данные устройства. Баннеры могут стать важной частью судебного процесса, если пользователь был обвинен в несанкционированном доступе. Отдельные законодательства не разрешают возбуждать судебные дела против пользователей или даже просто следить за их действиями без предупреждения.

Чтобы создать баннерное сообщение дня на сетевом устройстве, используйте команду глобальной конфигурации #**banner motd #** # the message of the day # . Символ «#» в синтаксисе команды называется разделителем. Он вводится до и после сообщения. Разделителем может быть любой символ, которого нет в самом сообщении. Поэтому часто используются такие символы, как «#». После выполнения команды баннер будет отображаться при всех последующих попытках доступа к устройству, пока не будет удален.

В следующем примере показаны шаги по настройке баннера на Sw-Floor-1.

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# banner motd #Authorized Access Only#