Amaç
VRP’de uzaktan yönetimin parçalarını (AAA yerel kullanıcı, VTY satırı, SSH sunucusu, RSA anahtarı) bir araya getirmek.
Mimari
İki router doğrudan bağlıdır. Her ikisinde de aynı yönetim ayarları yapılır. Önce cihazlara IP erişimi verilir, sonra ‘admin’ kullanıcısı AAA içinde tanımlanır, VTY satırları AAA ile doğrulama yapacak ve yalnızca SSH kabul edecek şekilde ayarlanır, son olarak stelnet (SSH) sunucusu açılır. Platform: Huawei VRP.
Topoloji
Router
IP planı
| Router | LoopBack0 | Bağlantı |
|---|---|---|
| R1 | 1.1.1.1/32 | 10.0.12.1/30 (GE0/0/0) |
| R2 | 2.2.2.2/32 | 10.0.12.2/30 (GE0/0/0) |
Görevler ve Canlı CLI
Aşağıdaki parlayan başlığa tıkla, laboratuvar açılsın. Solda cihaz terminalleri, sağda görevler var; bir görevi doğru yapınca yeşil tik yanar. Yanlış görevin üstüne tıklarsan neyin eksik olduğunu ve kısa bir ipucunu görürsün. İlerleme tarayıcında saklanır.
Kontrol soruları
- Telnet’in SSH’a göre güvenlik açığı nedir?
local-useraltındaprivilege level 15ne sağlar?- VTY’de
authentication-mode aaailepasswordarasındaki fark nedir? - RSA anahtarı olmadan SSH sunucusu neden çalışmaz?
Kontrol sorularının cevapları, labı 100 puanla bitirince açılır.
- Telnet her şeyi, parolalar dahil, düz metin olarak gönderir; aynı ağdaki biri trafiği dinleyerek kullanıcı adı ve parolayı okuyabilir, araya girebilir (MITM). SSH bağlantıyı şifreler ve sunucuyu anahtarıyla doğrular. Bu yüzden yönetim erişimi için SSH (stelnet) kullanılır, Telnet kapatılır.
- VRP’de ayrıcalık seviyesi 0’dan 15’e kadardır; 15 en yüksek seviyedir ve kullanıcının tüm komutlara (yapılandırma dahil) erişmesini sağlar. Düşük seviyeler yalnızca sınırlı izleme komutlarına izin verir. Bu yüzden yönetici kullanıcıya 15, sadece izleme yapacak kullanıcıya daha düşük bir seviye verilir.
passwordmodunda VTY hattına tek, ortak bir parola konur; herkes aynı parolayı kullanır ve kimin girdiği belli olmaz.aaamodunda ise her kullanıcının kendi adı, parolası ve ayrıcalık seviyesi vardır (local-userya da RADIUS/TACACS+). Kim, ne zaman, ne yaptı kayıt altına alınabilir ve yetkiler kullanıcı bazında verilebilir.- SSH, sunucuyu istemciye kanıtlamak (host key) ve oturum anahtarını güvenle anlaşmak için bir anahtar çiftine ihtiyaç duyar.
rsa local-key-pair createile üretilen RSA anahtarı olmadan sunucu kendini doğrulayamaz ve şifreli oturum kuramaz; bu yüzden stelnet server açık olsa da bağlantı olmaz.