Как удаленно настроить роутер cisco

Доступ по SSH на Cisco IOS

Read the article CONFIGURING SSH ON CISCO IOS in English

Вопрос «как настроить подключение к Cisco по протоколу SSH?» возникает у каждого, кто сталкивается с этим оборудованием. Ответ — «Просто!»
Для примера возьмем модель маршрутизатора Cisco 881. Команды для настройки других маршрутизаторов (1841, 2800, 3825…) или коммутаторов (2900, 3500, 4800…) будут аналогичными. Различие может быть лишь в настройке интерфейсов. (Настройка доступ по протоколу SSH на межсетевые экраны Cisco ASA описана в статье «Cisco ASA. Основы. Доступ в Интернет»
Итак, в нашем распоряжении:

• маршрутизатор Cisco 881
• рабочая станция администратора
• несколько компьютеров в локальной сети офиса
• коммутатор, который используется для организации локальной сети офиса

Задача: настроить защищенное подключение к маршрутизатору Cisco с помощью протокола SSH и обеспечить безопасное удаленное управление.

Шаг 0. Настройка интерфейса

На маршрутизаторе должен быть включен интерфейс, который будет использоваться для управления. В нашем случае это будет внутренний (LAN) интерфейс Fastethernet 0.

Для справки:
На Маршрутизаторе Cisco 881 имеется один интерфейс 3го уровня Fastethernet 4 (тот, на котором сразу можно задать IP адрес) и встроенный коммутатор с четырьмя интерфейсами 2го уровня (Fastethernet 0 – Fastethernet 3). На каждый из этих 4ех интерфейсов можно привязать по одному(!) виртуальному интерфейсу 3го уровня. (Vlan).
Для интерфейса управления маршрутизатора выбираем первый доступный адрес в сети офиса — 192.168.0.1. Далее заходим в настройки виртуального интерфейса Vlan 1 и присваиваем ему этот ip адрес. После этого привязываем его к одному из физических интерфейсов маршрутизатора (Fastethernet 0) и включаем его командой no shut.

Для наглядности:
ip address => interface Vlan X => interface Fastethernet Y
Задаем ip адрес на интерфейсе Vlan 1
R-DELTACONFIG (config)#
interface Vlan 1
ip address 192.168.0.1 255.255.255.0
no shutsown
Привязываем Vlan 1 к физическому интерфейсу FastEthernet 0
R-DELTACONFIG (config)#
interface Fa 0
switchport access vlan 1
no shutsown
Последнее действие выполняется для того, чтобы убедиться в корректности настройки. Vlan 1 привязан по умолчанию к каждому интерфейсу 2го уровня и строчка будет отображаться в конфигурации только, если номер Vlan будет отличаться от 1.
Далее необходимо проверить доступность созданного интерфейса с самого маршрутизатора, а затем с любой рабочей станции офиса, например с рабочей станции администратора. Подойдет простая проверка командой Ping. Естественно, что интерфейс маршрутизатора Fastethernet 0 должен быть соединен с коммутатором локальной сети (или напрямую с компьютером администратора) и адрес компьютера, с которого выполняется проверка, находится в той же сети, что и адрес интерфейса маршрутизатора (например 192.168.0.10).

Шаг 1 Создание учетной записи администратора

Для удаленного управления требуется создать учетную запись, если таковая еще отсутствует.
R-DELTACONFIG (config)#
username admin secret *****
Вместо звездочек ****** задаем пароль для учетной записи admin.

Важно!
По правилам хорошего тона пароль состоит из заглавных и прописных букв, цифр и спец. символов, при этом не короче 8 символов.

Шаг 2 задание пароля на режим конфигурирования

При открытии консоли управления маршрутизатором пользователь попадает в упрощенный режим, из которого возможно посмотреть лишь некоторые параметры устройства и техническую информацию о нем. При этом рядом с названием устройства присутствует знак стрелки «>»
R-DELTACONFIG>
Для просмотра конфигурации маршрутизатора и дальнейшей его настройки необходимо ввести команду enable
R-DELTACONFIG > enable
R-DELTACONFIG #
Изначально этот режим не защищен паролем и любой пользователь, который подключился консольным кабелем (про кабель и как подключиться описано в этой статье) сможет попасть в режим конфигурирования . С другой стороны, пользователь, который подключился удаленно (ssh/telnet),для которого не задан уровень привилегий (как раз наш случай), не сможет попасть в режим конфигурирования.
Задаем пароль на привилегированный режим (знак решетки # рядом с именем маршрутизатора), зайдя в режим конфигурирования (conf t).
R-DELTACONFIG (config)#
R-DELTACONFIG (config)# enable secret ******
Этот пароль будет единым для всех пользователей.
Подробнее про режимы конфигурирования можно прочитать здесь.

Шаг 3. Включение удаленного управления

Для удаленного управления необходимо указать способ аутентификации пользователя командой login local
R-DELTACONFIG (config)#
line vty 0 4
login local
После выполнения этого шага и при условии, что интерфейс управления маршрутизатора доступен пользователю, становится возможным подключение к маршрутизатору с помощью протокола telnet. Для этого необходимо из командной строки рабочей станции администратора выполнить команду
C:\Documents and Settings\***> telnet 192.168.0.1
Должен последовать запрос пользователя и пароля, которые были заданы в шаге 1. После успешной авторизации будет доступен упрощенный режим управления маршрутизатора (со стрелкой «>«). Для доступа к привилегированному режиму (#) необходимо ввести команду enable, а после пароль из шага 2.

Шаг 4 Настройка SSH

При использовании протокола Telnet (TCP порт 23) все команды и данные о конфигурировании устройства передаются в открытом виде, что потенциально небезопасно. Для защиты подключения используется протокол SSH (TCP порт 22).
Для настройки подключения через протокол SSH необходимо задать имя домена (любое), сгенерировать криптографический ключ доступа и включить сам протокол SSH версии 2.
R-DELTACONFIG (config)#
ip domain-name deltaconfig.ru
crypto key generate rsa
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
a few minutes.
// после запроса необходимо указать 1024
How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable. [OK]
ip ssh ver 2
После выполнения этого шага появляется возможность подключаться через SSH с помощью специальной программы, поддерживающей данную функцию, например putty. Скачать можно по этой ссылке.

Шаг 5. Ограничение подключения к маршрутизатору только через SSH

Для того, чтобы исключить возможность подключения к маршрутизатору по протоколу Telnet необходимо ввести следующие команды:
R-DELTACONFIG (config)#
line vty 0 4
transport input ssh
После этого удаленный доступ к консоли устройства будет невозможен кроме как по протоколу SSH.
Дополнительно можно ограничить доступ к управлению маршрутизатором или коммутатором Cisco только с определенных ip адресов. Как это сделать описано в этой статье.

Важно!
Будьте осторожны с доступом на устройства. Не пренебрегайте защитой подключения и ограничения круга лиц, допущенных к управлению.

Важно!

Не забудьте сохранить конфигурацию всех устройств командой write или copy run start. Иначе после перезагрузки все изменения будут потеряны.
R-DELTACONFIG# write
Building configuration.
[OK]

Источник

Удаленное управление

Получить достижение

Пройдите тест, чтобы получить достижение.

Уже получили 235 пользователей

Виды remote control

Чтобы усложнить выполнение дальнейших лабораторок, научимся управлять оборудованием cisco удаленно. Есть три вида получения доступа к CLI.

• Через консольный кабель. Обычно используется при первичной настройке.
• Через программу telnet. Работает по принципу клиент-сервер, клиент отправляет команду, сервер выполняет. Команды передаются в не зашифрованном виде.
• По протоколу SSH. Работает по принципу клиент-сервер, клиент отправляет команду, сервер выполняет. Команды передаются в зашифрованном виде (в данной главе подробно рассматриваться не будет).

Консольный кабель

Консольный кабель идет в комплекте ко всему оборудованию cisco. Он представляет из себя голубой провод, на одном конце которого 8P8C (многие путают с RJ-45, подробнее), а на другом – DB-9F (а в компьютере разъем называется RS232).

Консольный кабель

Telnet

Лучше чем на практике не объяснишь, так что “Welcome” в раздел Практика!

Общая информация

Packet Tracer version: 6.2.0

Рабочий файл: скачать

Тип: Теория и практика

Версия файла: 2.0

Уже получили: 235 пользователей

Получить достижение

Код активации можно получить выполнив практическое задание

Уже получили 230 пользователей

Начальные данные

В данной практической работе будет использоваться схема сети, которая представлена на рисунке ниже.

Схема сети для практической работы

Получить доступ к CLI через консоль.

Поставить на вход по консоли пароль. Поставить пароль на privilege mode.

Настроить ip адресацию на коммутаторе.

Настроить telnet-server на коммутаторе.

Подключиться к коммутатору через telnet-client.

Выполнение

Получить доступ к CLI через консоль.

Отныне вашим главным инструментом будет один из компьютеров, в данной работе это ПК0.

Подключим консольный кабель от ПК0 к SW_1, как это показано на “гифке” (рисунок 2.1).

Рисунок 2.1 Подключение консольного кабеля в Packet Tracer

Теперь зайдем на ПК0, вкладка Desktop, там кликаем на Terminal (как пример, в реальной жизни используется putty), оставляем настройки неизменными (настройки передачи бит по консольному кабелю, вдаваться в подробности не буду) и жмем Ok, попадаем в командную строку нашего коммутатора (рисунок 2.2).

Рисунок 2.2 Открываем терминал

Поставить на вход по консоли пароль. Поставить пароль на privilege mode.

Чтобы получить достижение используйте такие же настройки!

Теперь, когда у нас есть доступ к CLI, мы можем перейти к настройке оборудования.

Чтобы поставить пароль на вход по консоли, надо из режима конфигурации зайти в подрежим настройки консоли, при помощи команды line console 0 (не забывайте, что команды можно писать сокращенно!). Далее в этом режиме, установить пароль командой password и указать, чтобы его спрашивали при входе командой login (ниже представлен ввод всех команд). Пароль установлен!

Теперь установим пароль на privilege mode (очень часто его называют enable mode). Делается это командой enable password , так же можно установить пароль командой enable secret . Отличие этих команд в том, что в первом случае пароль хранится в нешифрованном виде, а во втором – в зашифрованном, и если обе команды были установлены, то при входе будет спрашиваться secret.

Давайте проверим удаленный доступ. Выходим из командной оболочки, для этого вызывайте команду exit , пока полностью не выйдете из CLI.Когда вы снова попробуете зайти, система попросит вас ввести пароль, рисунок 2.3 (когда будете вводить пароль, символы отображаться не будут, не пугайтесь – это нормально). После успешного входа в user mode перейдем в privilege. Вводим команду enable , и система снова запрашивает пароль, в моем случае это будет пароль, который я установил на enable secret.

Рисунок 2.3 Вход с паролем

Настроить ip адресацию на коммутаторе.

Для того что бы на коммутатор можно было заходить удаленно, надо задать ему ip адрес. IP адрес задается на “виртуальном”интерфейсе, так называемом Switch Virtual Interface (SVI), подробно об этих интерфейсах мы поговорим, когда будем изучать L3-коммутаторы. SVI создается на определенном VLAN (о них в одной из следущих глав), по умолчанию это VLAN 1. IP адресация в предоставленном файле уже настроена, используется сеть 192.168.10.0/24 (если вы не понимаете, что означает 24, то обратитесь к основам сетевых технологий). Ниже представлен пример конфигурации. Предлагаю установить на SVI ip адрес 192.168.10.2.

Проверяем, что интерфейс включился (“поднялся”) и установлен правильный ip адрес.

Разберем выше представленные команды. Первое что мы сделали, это из конфигурационного режима зашли в подрежим настройки интерфейса Vlan1(если вы не до конца понимаете, что такое виртуальный интерфейс, не переживайте, понимание обязательно придет, продолжайте практиковаться). Познакомились с новыми командами ip address – устанавливает ip адрес и маску (эта команда работает, только с L3-интерфейсами) и no shutdown – включает интерфейс (а команда shutdown выключает интерфейс, мы еще поговорим, о частице no в командах). После того как мы включили интерфейс, появилось два информационных сообщения. Первое говорит, что на физическом уровне интерфейс работает, второе – что интерфейс заработал на канальном уровне и может принимать фреймы.

Команда show ip interface brief показывает в кратком виде состояние всех интерфейсов, а так же установленные ip адреса. Команда show interface позволяет посмотреть более подробную информацию: ошибки на интерфейсе, статистику скорости передачи и т.п.

Теперь надо проверить доступность коммутатора с нашего ПК1. Закрываем терминал и открываем “Command Prompt”, там вводим команду ping 192.168.10.2 (мы еще ни раз вернемся к команде ping). Все действия можно посмотреть на рисунке 2.4 (ip адрес на ПК1 уже настроен 192.168.10.10). Если первый запрос не увенчается успехом (“Request timed out”) – это нормально, т.к. в этот момент устройства ищут друг друга. Если вы запустите команду еще раз, то на все 4 запроса ПК1 получит ответ.

Рисунок 2.4 Проверка доступности командой ping

Настроить telnet-server на коммутаторе.

Чтобы получить достижение используйте такие же настройки!

Простейшая настройка telnet-server очень похожа на настройку доступа к консоли, но мы с вами добавим несколько интересных и полезных команд (“простейшая”, т.к. для авторизации будет использоваться только пароль, более сложную конфигурацию, с использованием логина/пароля мы рассмотрим позже).

Из конфигурационного режима вызываем команду line vty 0 15 и разберем ее подробнее. vty – Virtual Terminal, 0 15 – диапазон(или кол-во, всего 16) виртуальных терминалов, т.е. мы указываем сколько одновременных сессий может быть установлено (16) и переходим в подрежим настройки всех 16-ти виртуальных терминалов (иными словами, одновременно может подключиться 16 человек, при этом используя пароль, который мы установим далее). Устанавливаем пароль password , включаем его использование командой login , указываем что по этим “линиям” будут подключаться telnet-ом transport input telnet , а теперь очень интересная команда privilege level 15 – при подключении к устройству, пользователю будут выдаваться максимальные права, т.е. он сразу будет попадать в privilege mode.

Подключиться к коммутатору через telnet-client.

На рисунке 2.5 показано, как подключиться к оборудованию используя telnet-client.

Рисунок 2.5 Подключение через telnet-client

Источник