پیاده‌سازی رمز عبور قوی و پیچیده
قبل از اقدام به هر کاری توجه داشته باشید که در این کتاب از نرم‌افزار مجازی‌سازی GNS3 استفاده شده که در فصل چهارم آن را به صورت کامل نصب و راه‌اندازی کردیم و از آن در کل کتاب استفاده خواهیم کرد.
روش‌های دسترسی و رمزگذاری:
برای دسترسی به روتر چندین روش وجود دارد که هرکدام را مورد بررسی قرار می‌دهیم:
پورت Console
این همان پورتی است که از طریق کابلConsole (آبی رنگ) به روتر متصل می‌شویم و برای متصل شدن به یک روتر خام به کار می‌رود که هیچ‌گونه تنظیماتی روی آن انجام نشده است، برای رمزنگاری این پورت، باید کارهای زیر را انجام دهیم.
وارد مدglobal شوید و با دستور Line console 0، وارد پورت کنسول شوید. مانند زیر عمل کنید:
R1(config)#line console ?
<0-0> First Line number
اصولاً روی روترها، یک پورت کنسول وجود دارد که شمارهی آن صفر است و میخواهیم روی این پورت رمز عبور قوی قرار دهیم، باید به صورت زیر عمل کنیم.
R1(config-line)#password AB_@@_@@ba
برای این کار، از دستور Password و بعدازآن، از یک کلمهی عبور پیچیده، مانند AB_@@_@@BA استفاده میکنیم، همانطور که مشاهده می‌کنید رمز عبوری که برای این منظور در نظر گرفتیم دارای حروف بزرگ و کوچک و علامت اختصاری است.
بعدازاین که رمز را وارد و enter کردیم باید از دستور login استفاده کنیم تا زمانی که میخواهیم وارد تنظیمات روتر شویم از ما رمز عبور پرسیده شود، پس به این صورت این دستور را وارد میکنیم:
R1(config-line)#login
تذکر: اگر شما دستور Login را وارد نکنید، هر رمزی را هم روی روتر فعال کنید، باز برای ورود از شما رمز عبور درخواست نمیشود، پس به این نکته توجه کنید.
در حال حاضر با واردکردن این دستورات، روی روتر رمز قرار دادیم و زمانیکه میخواهیم از طریق کابل Console وارد User Mode شویم، از شما رمز درخواست می‌شود.
دستور :exec-timeout
زمانیکه وارد یک مد میشوید، اگر مدت‌زمانی با روتر کار نکنید، در هر مدی که هستید، خارج شده و به مد اول، یعنی UserMode برگشت میکند، برای جلوگیری از این کار، باید از دستور زیر در پورت consol استفاده کنید، البته پیشنهاد می‌شود برای حفظ امنیت یک زمان مناسب برای آن در نظر بگیرید.
Router(config-line)#exec-timeout 0 0
همانطور که مشاهده می‌کنید، در این دستور از دو صفر استفاده شده است که اولی برای دقیقه و دومی برای ثانیه است، با صفر کردن هر دو اگر در هر مدی باشید در همان مد ثابت خواهد ماند و خارج نمیشود، البته می‌توانید هر زمان که خودتان دوست دارید وارد کنید.
Enable Password
این رمز برای Privileged Mode است. اگر کاربری بخواهد وارد این مد شود از وی پسورد درخواست می‌شود. برای فعال کردن آن، وارد مد Global می‌شویم و دستور زیر را تایپ و بعد enter میکنیم.
Router(config)#enable password Babajani#$%*1000
رمزهای عبوری که با دستورEnable Password فعال می‌شوند، زیاد نمی‌توانند امن باشند، چون این رمزها به صورت Text Base بوده و با یک فرمان می‌توانید رمز عبور را به دست آورید. برای دیدن رمز عبور از دستور Show Runing-config استفاده کنید، میخواهیم با این دستور به شما نشان دهیم که دستور Enable Password زیاد هم امن نیست، این دستور را در مد Privileged وارد کنید.
همانطور که مشاهده می‌کنید با واردکردن دستور Show Running-config، رمز عبور واردشده، نمایش داده شد، پس باید کاری کرد که این رمز به صورت Hashing یا کد شده در این قسمت نمایش داده شود تا کسی نتواند این رمز را مشاهده کند.
اول از همه، رمز قبلی را که وارد کردیم، حذف میکنیم. برای حذف هر دستوری که وارد کردیم، باید قبل از آن دستور، از کلمهی No استفاده کنیم تا دستور مورد نظر حذف شود، برای این کار از دستور No enable password استفاده میکنیم، بعد از این کار، از دستور enable Secret AB_@@_@@ba استفاده میکنیم که رمز عبور را به صورت کد شده درمی‌آورد و برای شما نمایش میدهد، بعد از این کار در مد Privileged دستور show Running-config را اجرا کنید، متوجه میشوید که رمز عبور password AB_@@_@@ba به صورت کد شده درآمده، مانند رمز زیر:
enable secret 5 $1$mERr$3HhIgMGBA/9qNmgzccuxv0
تذکر: زمانیکهEnable Secret فعال است، Enabel Password روی روتر کاربردی ندارد و اگر هر دو دستور را در یک‌زمان فعال کنید، فقط رمز عبوری که با دستور Enable Secret فعال کردیم، جواب میدهد.
اگر بخواهید از Password استفاده کنید و رمز آن هم به صورت Hash شده تغییر کند باید از دستور زیر در روتر استفاده کنید:
R1(config)# service password-encryption
پورت AUX
این پورت برای ارتباط از راه دور از طریق خط تلفن با روتر استفاده می‌شود که می‌توانیم به روش زیر فعال کنیم و یک رمز عبور پیچیده برای آن در نظر بگیرید.
R1(config)#Line aux 0
R1 (config-line)#password 123
R1 (config-line)#login
این رمز عبور قبل از وارد شدن به User Mode پرسیده می‌شود.
Telnet
برای فعال کردن Telnet باید پورت‌های مجازی Vty را فعال کنیم. Vty مخفف Virtual terminal که از چندین پورت مجازی برای ورود به روتر استفاده میکند، مثلاً در روتر ۲۹۱۱ از ۱۵ پورت تشکیل شده است. برای مشاهده این پورت‌ها در مد Global دستور زیر را وارد کنید:
R1(config)#line vty ?
<0-15> First Line number
با واردکردن دستور Line Vty و بعدازآن، علامت سؤال به ما تعداد پورت‌های مجازی برای این روتر را نشان میدهد که ۱۵ عدد استکه البته در روتر‌های جدید بسیار بالا است. شما می‌توانید تمام این ۱۵ پورت را فعال کنید که با این کار ۱۵ نفر در یک‌زمان می‌توانند وارد روتر یا سوئیچ شوند.
در اینجا تمام این ۱۵ پورت را انتخاب و همهی آن‌ها را فعال میکنیم، و روی همه آن‌ها رمز قرار می‌دهیم:
R1(config)#line vty 0 ۱۵
R1(config-line)#pass ###$$$2741652ABCDfVGjjj
R1(config-line)#login local
در قسمت سوم از دستور Login استفاده کردیم که با این دستور به روتر اعلام میکنیم که در زمانTelnet رمز عبور را درخواست کن. اگر به جای Login از دستور No Login استفاده کنید، روتر هیچ‌گونه رمزی درخواست نخواهد کرد، پس مواظب این دستور باشید. شما می‌توانید به چند پورت اجازه دسترسی بدهید و به بقیهی پورت‌ها اجازه دسترسی ندهید.
برای تعریف نام کاربری و رمز عبور باید از دستور زیر استفاده کرد، همانطور که مشاهده می‌کنید رمز عبور هم به صورت پیچیده وارد شده و هم نوع آن را Secret در نظر گرفتیم که Secret به این معنا است که رمز عبور شما به صورت Hash شده در Config قابل مشاهده است و کسی نمی‌تواند این رمز عبور را تشخیص دهد.
R1(config)#username babajani secret AB_@@_@@BA
برای اینکه رمز عبور را در Config مشاهده کنیم باید از دستور زیر استفاده کنیم که نتیجه آن هم مشخص است.
R1(config)#do show run | include username
username babajani secret 5 $1$.08t$t9W8awy7EEzk.Zk89.DDn/
با دستور زی می‌توانیم تنظیماتی که برای پورت‌های مورد نظر انجام دادیم را مشاهده کنید.
R1(config-line)#do show run | begin line
line con 0
exec-timeout 0 0
privilege level 15
password 7 08006E7129393A3732292D
logging synchronous
login
stopbits 1
line aux 0
exec-timeout 0 0
privilege level 15
password 7 107D08140419110F2C567A7A71
logging synchronous
login
stopbits 1
line vty 0 4
password 7 03247B2B454C620F0D4A5A4653564F48
login
line vty 5 15
password 7 03247B2B454C620F0D4A5A4653564F48
login