3-3远程安全管理.pptxVIP

项目3

网络设备的安全管理

远程安全管理

03.

使用ACL限制Telnet的远程访问

使用ACL限制Telnet的远程访问

1．设置交换机的远程登录验证密码

如果采用密码验证方式，需要设置本地验证密码；如果采用本地数据库验证方式，可以不设置验证密码，而在创建本地账户的时候指定密码。即执行如下命令：

SW1(config)#linevty04 //进入线程，04表示同时允许5台主机登录

SW1(config-line)#password1234 //配置Telnet密码并配置本地验证

SW1(config-line)#login //本地密码验证

SW1(config-line)#loginlocal //使用交换机本地的用户数据库进行远程登录验证

使用ACL限制Telnet的远程访问

2．设置使能密码

执行如下命令：

SW1(config)#enablepassword/secret1234

//如密码设置为1234，其中选项password为以明文方式存储，secret以密文方式存储

使用ACL限制Telnet的远程访问

3．设置网络设备管理IP地址

在配置交换机的管理IP地址时，主要通过配置SVI接口的IP地址来实现。执行如下命令：

SW1(config)#interfacevlan1 //在交换机上进入VLAN接口配置模式

SW1(config-if)#ipaddress //配置交换机的管理IP地址

SW1(config)#ipdefault-gateway

//和管理IP地址在同一个子网，由核心层、汇聚层或路由器定义，实现跨网段的远程访问能力

使用ACL限制Telnet的远程访问

4．建立本地用户数据库

执行如下命令：

SW1(config)#usernamedengpassworddeng

使用ACL限制Telnet的远程访问

5．限制远程管理IP地址的范围

执行如下命令：

SW1(config)#access-list10permit55

//定义访问列表10，设置可登录的IP地址访问为网段

SW1(config)#linevty04 //进入线程，04表示同时允许5台主机登录

SW1(config-line)#access-class10in //将上面定义的访问列表应用在虚拟终端vty0～vty4上

使用ACL限制Telnet的远程访问

6．配置结果验证

在管理终端的命令行中，执行命令telnet，输入正确的用户名和密码，测试登录是否成功。登录成功后，执行showusers命令，查看当前登录用户及所在IP；再输入enable密码，只能执行show命令查看。

使用SSH远程管理网络设备

1．SSH的简单运行过程

SSH工作在客户端/服务器模式，其运行过程如下：

（1）Client端向Server端发起SSH连接请求。

（2）Server端向Client端发起版本协商。

（3）协商结束后Server端发送HostKey公钥、ServerKey公钥、随机数等信息。

（4）Client返回确认信息，并附带用公钥加密过的一个随机数，用于双方计算SessionKey。

（5）进入认证阶段，从此以后所有通信均加密。

（6）认证成功后，进入交互阶段。

使用SSH远程管理网络设备

2．配置SSH前的准备工作

（1）检查设备IOS版本，以支持SSH。

（2）确保网络设备有唯一的主机名（不要使用Router）。

（3）确保路由器使用正确的网络域名（必须设置）。

（4）确保目标网络设备配置了本地验证或用于用户名和密码验证的AAA服务。

（5）配置终端与被管理网络设备三层联通。

使用SSH远程管理网络设备

3．采用loginlocal（本地鉴别）方式配置SSH

SSH不支持密码验证，因此只能采用“用户名+密码”的认证方式。根据采用的用户数据库在网络中的位置不同，SSH支持本地鉴别方式、基于AAA的本地鉴别方式和基于外部AAA的鉴别方式。本例的用户数据库是建立在路由器上的，执行如下命令：

R1(config)#ipdomain-name //配置网络的IP域名

R1(config)#cryptokeygeneratersageneral-keysmodulus1024//产生单向密钥，长度为1024位

Thenameforthekeyswillbe:R1.

%Thekeymodulussizeis1024bits

%Generating1024bitRSAkeys,keyswillbenon-exportable...[OK]

R1(config)#

*D