11.23. Команды управления безопасностью устройства

11.23.1. ip telnet server acl

Назначение

Команда ip telnet server acl используется для запрета подключения определенных IP-адресов клиентов Telnet. Для удаления данной конфигурации используйте команду no ip telnet server acl.

Требования

Серия

Версия ОС

Тип лицензии

Примечания

AQ-N3000

7.0

Advanced

-

AQ-N5000

7.0

Advanced

-

AQ-N6000

7.0

Professional

-

Синтаксис

ip telnet server acl NAME

no ip telnet server acl

Параметр

Описание параметра

Значение параметра

NAME

Имя списка доступа

Строка длиной до 40 символов

Режим ввода

Global Config

Состояние по умолчанию

Список доступа не указан.

Применение

Используйте эту команду для запрета подключения Telnet-клиентов с указанными IP-адресами.

Список доступа (ACL) должен быть создан до использования этой команды.

Примеры

Настройка списка доступа Telnet, который запрещает подключение Telnet-клиента с исходным IP 1.1.1.1:

Switch# configure terminal
Switch(config)# ip access-list telnetACL
Switch(config-ip-acl)# 10 deny tcp host 1.1.1.1 any
Switch(config-ip-acl)# exit
Switch(config)# ip telnet server acl telnetACL

Связанные команды

Нет

11.23.2. ip ssh server acl

Назначение

Команда ip ssh server acl используется для запрета подключения SSH-клиентов с определенными IP-адресами. Для удаления данной конфигурации используйте команду no ip ssh server acl.

Требования

Серия

Версия ОС

Тип лицензии

Примечания

AQ-N3000

7.0

Advanced

-

AQ-N5000

7.0

Advanced

-

AQ-N6000

7.0

Professional

-

Синтаксис

ip ssh server acl NAME

ip no ssh server acl

Параметр

Описание параметра

Значение параметра

NAME

Имя списка доступа

Строка длиной до 40 символов

Режим ввода

Global Config

Состояние по умолчанию

Список доступа не указан.

Применение

Используйте эту команду для запрета подключения SSH-клиентов с указанными IP-адресами.

Список доступа (ACL) должен быть создан до использования этой команды.

Примеры

Настройка списка доступа SSH, который запрещает подключение SSH-клиента с IP-адресом источника 1.1.1.1:

Switch# configure terminal
Switch(config)# ip access-list telnetACL
Switch(config-ip-acl)# 10 deny tcp host 1.1.1.1 any
Switch(config-ip-acl)# exit
Switch(config)# ip ssh server acl telnetACL

Связанные команды

Нет

11.23.3. username secret

Назначение

Команда username secret создает или изменяет пользователя с указанным именем, задаёт открытый (plain text) пароль и при необходимости уровень привилегий.

Требования

Серия

Версия ОС

Тип лицензии

Примечания

AQ-N3000

7.5.0

Advanced

-

AQ-N5000

7.5.0

Advanced

-

AQ-N6000

7.5.0

Professional

-

Синтаксис

username NAME [privilege PRIVILEGE_LEVEL] secret PLAINTEXT_PASSWORD

Параметр

Описание параметра

Значение параметра

NAME

Имя пользователя

-

PRIVILEGE_LEVEL

Уровень привилегий пользователя (опционально)

Целое число от 1 до 4

PLAINTEXT_PASSWORD

Пароль пользователя в открытом виде

-

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Команда используется для создания или изменения пользователя с явным указанием открытого пароля и опциональным уровнем доступа.

Примеры

Создание пользователя admin с уровнем привилегий 4 и паролем “password123”:

Switch# configure terminal
Switch(config)# username admin privilege 4 secret password123

Создание пользователя guest без указания уровня привилегий с паролем “guestpass”:

Switch# configure terminal
Switch(config)# username guest secret guestpass

Связанные команды

Нет

11.23.4. username password

Назначение

Команда username password создает или изменяет пользователя с указанным именем, задаёт пароль в зашифрованном виде с указанием алгоритма шифрования (8 или 10) и при необходимости уровень привилегий.

Требования

Серия

Версия ОС

Тип лицензии

Примечания

AQ-N3000

7.5.0

Advanced

-

AQ-N5000

7.5.0

Advanced

-

AQ-N6000

7.5.0

Professional

-

Синтаксис

username NAME [privilege PRIVILEGE_LEVEL] password (8|10| ) HASHED_PASSWORD

Параметр

Описание параметра

Значение параметра

NAME

Имя пользователя

-

PRIVILEGE_LEVEL

Уровень привилегий пользователя

Целое число от 1 до 4

(8|10| )

Алгоритм шифрования пароля (опционально)

Ключевое слово: 8 или 10

HASHED_PASSWORD

Пароль пользователя в зашифрованном виде

Хэш строки, формат зависит от типа

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Команда используется для создания или изменения пользователя с паролем, заданным в виде хэша по одному из поддерживаемых алгоритмов:

  • 8 (hidden) - пароли, закодированные с использованием менеджера паролей, позволяют скрыть реальный текст, но могут быть частично обратимы при наличии внутренней информации; используются для совместимости и менее строгой защиты.

  • 10 (irreversible) - пароли, зашифрованные с помощью алгоритма MD5 (или подобного), являются необратимыми (хэширование), что обеспечивает высокий уровень защиты.

Важно!

Хэш пароля, заданный с помощью алгоритма 10 (irreversible), не может быть преобразован обратно в исходный текст пароля. Это означает, что пароль невозможно “расшифровать” - только заменить или сбросить. Пароли с типом 8 (hidden) также считаются защищенными, но в некоторых случаях могут быть подвергнуты обратному преобразованию, поэтому рекомендуется использовать тип 10 для максимальной безопасности.

Примеры

Создание пользователя operator с уровнем привилегий 2 и хэшированным паролем по алгоритму 10:

Switch# configure terminal
Switch(config)# username operator privilege 2 password 10 $1$salt$hashedpw

Создание пользователя audit с паролем по алгоритму 8 без указания уровня привилегий:

Switch# configure terminal
Switch(config)# username audit password 8 $1$salt$anotherhash

Связанные команды

Нет

11.23.5. service password-encryption

Назначение

Команда service password-encryption используется для шифрования паролей пользователей и линий VTY. Для удаления этой конфигурации используйте команду no service password-encryption.

Требования

Серия

Версия ОС

Тип лицензии

Примечания

AQ-N3000

7.0

Advanced

-

AQ-N5000

7.0

Advanced

-

AQ-N6000

7.0

Professional

-

Синтаксис

service password-encryption

no service password-encryption

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Используйте эту команду для шифрования паролей пользователей и линий VTY.

После применения этой команды новые пароли шифруются алгоритмом SHA-512 (формат $6$<salt>$<hash>) начиная с версии AqNOS 7.5.2.

Поддерживаемые алгоритмы:

  • SHA-512 ($6$…) — по умолчанию с версии AqNOS 7.5.2

  • MD5 ($1$…) — для обратной совместимости

Примеры

Шифрование пароля пользователя:

Switch# configure terminal
Switch(config)# service password-encryption
Switch# show running-config
username admin privilege 4 password 8 56ab359baafb02a3

Шифрование пароля пользователя (SHA-512 по умолчанию с версии AqNOS 7.5.2):

Switch# configure terminal
Switch(config)# service password-encryption
Switch(config)# username test secret test123
Switch# show running-config
username test password 10 $6$194gEYc.SLtiRXIs$20zPE59Qu0yKPi...

Связанные команды

Нет