Laboratório - Acesso a dispositivos de rede com SSH

Transcrição

1 Topologia Tabela de endereçamento Dispositivo Interface Endereço IP Máscara de subrede Gateway padrão Objetivos R1 G0/ ND S1 VLAN PC-A NIC Parte 1: Definir as configurações básicas do dispositivo Parte 2: Configurar o roteador para o acesso SSH Parte 3: Examinar uma sessão telnet com o Wireshark Parte 4: Examinar uma sessão SSH com Wireshark Parte 5: Configurar o switch para o acesso SSH Parte 6: SSH do CLI no switch Histórico/cenário No passado, o Telnet era o protocolo de rede mais comum, usado para configurar remotamente dispositivos de rede. No entanto, os protocolos como o Telnet não autenticavam ou codificavam as informações entre o cliente e o servidor. Isso permite que um sniffer de rede intercepte senhas e informações de configuração. O Shell Seguro (SSH) é um protocolo de rede que estabelece uma conexão segura de emulação de terminal para um roteador ou outro dispositivo de rede. O SSH criptografa todas as informações que passam no link de rede e fornece autenticação do computador remoto. O SSH está substituindo rapidamente o Telnet como ferramenta de login remoto favorita para profissionais de rede. O SSH é usado com mais frequência para conectar-se a um dispositivo remoto e executar comandos; no entanto, também pode transferir arquivos usando os protocolos associados de FTP seguro (SFTP) ou de Cópia segura (SCP). Para que o SSH funcione, os dispositivos de rede que se comunicam devem ser configurados para suportálo. Neste laboratório, você ativará o servidor SSH em um roteador e conectará ao roteador usando um computador com um cliente SSH instalado. Em uma rede local, a conexão é feita normalmente usando a Ethernet e o IP. Neste laboratório, você configurará um roteador para aceitar a conectividade SSH, e usará o Wireshark para capturar e exibir as sessões do Telnet e do SSH. Isso demonstrará a importância da criptografia com o SSH. Você também terá o desafio de configurar sozinho um switch para conectividade SSH Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 1 de 11

2 Observação: Os roteadores usados com laboratórios práticos CCNA são Roteadores de Serviços Integrados (ISRs) Cisco 1941 com a versão 15.2(4) M3 do IOS Cisco (imagem universalk9). Os switches usados são Cisco Catalyst 2960s com a versão 15.0(2) (imagem lanbasek9) do IOS Cisco. Outros roteadores, switches e versões do IOS Cisco podem ser usados. Dependendo do modelo e da versão do IOS Cisco, os comandos disponíveis e a saída produzida podem diferir do que consta nos laboratórios. Consulte a tabela Resumo da interface do roteador no final deste laboratório para obter os identificadores de interface corretos. Observação: certifique-se de que os roteadores e switches tenham sido apagados e que não haja configurações iniciais. Se estiver em dúvida, entre em contato com seu instrutor. Recursos necessários 1 roteador (Cisco 1941 com a versão 15.2(4)M3 do IOS Cisco, imagem universal ou semelhante) 1 switch (Cisco 2960 com imagem de lanbasek9 versão 15.0(2) do IOS Cisco ou semelhante) 1 PC (Windows 7, Vista ou XP com o programa de emulação de terminal, tal como o Tera Term, e o Wireshark instalado) Cabos de console para configurar os dispositivos IOS Cisco através das portas de console Cabos ethernet conforme mostrado na topologia Parte 1: Defina as configurações básicas do dispositivo Na parte 1, você irá configurar a topologia de rede e definir as configurações básicas, como os endereços IP da interface, o acesso a dispositivos e as senhas no roteador. Etapa 1: Instalar os cabos da rede conforme mostrado na topologia. Etapa 2: Inicialize e reinicialize o roteador e o switch. Etapa 3: Configure o roteador. a. Use o console para se conectar ao roteador e ative o modo EXEC privilegiado. b. Entre no modo configuração. c. Desative a pesquisa do DNS para evitar que o roteador tente converter comandos inseridos incorretamente como se fossem nomes de host. d. Atribua class como a senha criptografada do EXEC privilegiado. e. Atribua cisco como a senha da console e ative o login. f. Atribua cisco como a senha vty e ative o login. g. Criptografe as senhas de texto simples. h. Crie um banner que avisará a qualquer pessoa que o acessa dispositivo que o acesso não autorizado é proibido. i. Configure e ative a interface G0/1 no roteador usando as informações contidas na Tabela de endereçamento. j. Salve a configuração atual no arquivo de configuração inicial. Etapa 4: Configure o PC-A. a. Configure o PC-A com um endereço IP e uma máscara de sub-rede. b. Configure um gateway padrão para o PC-A Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 2 de 11

3 Etapa 5: Verificar a conectividade de rede. Efetue ping no R1 do PC-A. Se o ping falhar, solucione os problemas da conexão. Parte 2: Configure o roteador para o acesso SSH Usar o Telnet para se conectar a um dispositivo de rede é um risco à segurança, pois todas as informações são transmitidas em um formato de texto simples. O SSH criptografa os dados de sessão e fornece autenticação do dispositivo, que é o motivo de o SSH ser recomendado para conexões remotas. Na parte 2, você configurará o roteador para aceitar conexões SSH nas linhas VTY. Etapa 1: Configure a autenticação do dispositivo. O nome do dispositivo e o domínio são usados como a parte na chave criptografada quando gerada. Portanto, esses nomes devem ser inseridos antes de emitir o comando crypto key. a. Configure o nome do dispositivo. Router(config)# hostname R1 b. Configure o domínio do dispositivo. R1(config)# ip domain-name ccna-lab.com Etapa 2: Configure o método de chave de criptografia. R1(config)# crypto key generate rsa modulus 1024 The name for the keys will be: R1.ccna-lab.com % The key modulus size is 1024 bits % Generating 1024 bit RSA keys, keys will be non-exportable... [OK] (elapsed time was 1 seconds) R1(config)# *Jan 28 21:09:29.867: %SSH-5-ENABLED: SSH 1.99 has been enabled Etapa 3: Configure um nome de usuário do banco de dados local. R1(config)# username admin privilege 15 secret adminpass R1(config)# *Feb 6 23:24:43.971: End->Password:QHjxdsVkjtoP7VxKIcPsLdTiMIvyLkyjT1HbmYxZigc R1(config)# Observação: um nível de privilégio 15 fornece ao usuário direitos de administrador. Etapa 4: Ative o SSH nas linhas VTY. a. Ative o Telnet e o SSH nas linhas de entrada VTY usando o comando transport input. R1(config)# line vty 0 4 R1(config-line)# transport input telnet ssh b. Altere o método de login para usar o banco de dados local para a verificação do usuário. R1(config-line)# login local R1(config-line)# end R1# 2014 Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 3 de 11

4 Etapa 5: Salve a configuração atual no arquivo de configuração inicial. R1# copy running-config startup-config Destination filename [startup-config]? Building configuration... [OK] R1# Parte 3: Examine uma sessão Telnet com o Wireshark Na parte 3, você usará o Wireshark para capturar e exibir os dados transmitidos de uma sessão Telnet no roteador. Você usará o Tera Term para o Telnet para R1, entrará, e emitirá o comando show run no roteador. Observação: se um pacote de software cliente de Telnet/SSH não estiver instalado no PC, você deverá instalar um antes de continuar. Dois pacotes populares de freeware Telnet/SSH são o Tera Term ( e o PuTTy ( Observação: o Telnet não está disponível no prompt de comando no Windows 7, por padrão. Para ativar Telnet para uso na janela do prompt de comando, clique em Iniciar > Painel de controle > Programas > Programas e recursos > Ligar ou desligar os recurso do Windows. Clique na caixa de seleção Telnet Cliente e em OK. Etapa 1: Abra o Wireshark e dê início à captura de dados na interface da LAN. Observação: se não for possível iniciar a captura na interface da LAN, talvez seja necessário abrir o Wireshark usando a opção Executar como administrador. Etapa 2: Inicie uma sessão Telnet no roteador. a. Abra o Tera Term e selecione o botão de opção Serviço Telnet e, no campo Host, insira Qual é a porta TCP padrão das sessões Telnet? b. No nome do usuário: prompt, insira admin e a senha: prompt, insira adminpass. Esses avisos são gerados, porque você configurou as linhas VTY para usar o banco de dados local com o comando login local Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 4 de 11

5 c. Execute o comando show run. R1# show run d. Insira exit para sair da sessão Telnet e do Tera Term. R1# exit Etapa 3: Pare a captura do Wireshark. Etapa 4: Aplique um filtro Telnet nos dados de captura do Wireshark. Etapa 5: Use o recurso Follow TCP Stream no Wireshark para visualizar a sessão Telnet. a. Clique com o botão direito em uma das linhas do Telnet na seção Lista de pacotes do Wireshark e, na lista suspensa, selecione Follow TCP stream Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 5 de 11

6 b. A janela Follow TCP stream exibe os dados da sessão Telnet com o roteador. Toda a sessão é exibida em texto simples, incluindo sua senha. Observe que o nome de usuário e o comando show run que você inseriu são exibidos com caracteres duplicados. Isso é causado pela configuração de eco no Telnet para permitir que você visualize os caracteres digitados na tela. c. Depois de revisar sua sessão Telnet na janela Follow TCP Stream, clique em Fechar. Parte 4: Examine uma sessão SSH com o Wireshark Na parte 4, você usará o software Tera Term para estabelecer uma sessão SSH com o roteador. O Wireshark será usado para capturar e exibir os dados da sessão SSH. Etapa 1: Abra o Wireshark e dê início à captura de dados na interface da LAN. Etapa 2: Inicie uma sessão SSH no roteador. a. Abra o Tera Term e insira o endereço IP da interface G0/1 de R1 no host: campo do Tera Term: janela Nova conexão. Verifique se o botão de opção SSH está selecionado e clique em OK para se conectar ao roteador Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 6 de 11

7 Qual é a porta TCP padrão usada nas sessões SSH? b. A primeira vez que você estabelecer uma sessão SSH em um dispositivo, um AVISO DE SEGURANÇA será gerado para informar que você nunca se conectou a esse dispositivo antes. Esta mensagem é parte do processo de autenticação. Leia o aviso de segurança e clique em Continuar. c. Na janela de autenticação SSH, digite admin como nome de usuário e adminpass como a senha. Clique em OK para se conectar ao roteador Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 7 de 11

8 d. Você estabeleceu uma sessão SSH no roteador. O software Tera Term é muito similar a uma janela de comando. No prompt de comando, execute o comando show run. e. Saia da sessão SSH e do Tera Term emitindo o comando exit. R1# exit Etapa 3: Pare a captura do Wireshark. Etapa 4: Aplique um filtro SSH nos dados de captura do Wireshark Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 8 de 11

9 Etapa 5: Use o recurso Follow TCP Stream no Wireshark para visualizar a sessão Telnet. a. Clique com o botão direito em uma das linhas do SSHv2 na seção Lista de pacotes do Wireshark e, na lista suspensa, selecione Follow TCP Stream. b. Examine a janela Follow TCP Stream da sessão SSH. Os dados foram criptografados e estão ilegíveis. Compare os dados da sessão SSH com os dados da sessão Telnet. Por que o SSH tem preferência sobre o Telnet para conexões remotas? c. Após analisar sua sessão SSH, clique em Fechar. d. Feche o Wireshark. Parte 5: Configure o switch para o acesso SSH Na parte 5, você configurará o switch na topologia para aceitar conexões SSH. Quando o switch tiver sido configurado, estabeleça uma sessão SSH nele usando o Tera Term Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 9 de 11

10 Etapa 1: Configure as definições básicas no switch. Etapa 2: Configure o switch para a conectividade SSH. Utilize os mesmos comandos que você usou para configurar o SSH no roteador na parte 2 para configurar o SSH para o switch. Etapa 3: Estabeleça uma conexão SSH para o switch. Inicie o Tera Term no PC-A, e o SSH para a interface SVI no S1. Etapa 4: Solucione o problema, conforme o necessário. Você consegue estabelecer uma sessão SSH com o switch? Parte 6: SSH do CLI no switch O cliente SSH é incorporado ao IOS Cisco e pode ser executado no CLI. Na parte 6, você fará SSH para o roteador no CLI no switch. Etapa 1: Exiba os parâmetros disponíveis para o cliente SSH IOS Cisco. Use a interrogação (?) para exibir as opções de parâmetros disponíveis com o comando ssh. S1# ssh? -c Select encryption algorithm -l Log in using this user name -m Select HMAC algorithm -o Specify options -p Connect to this port -v Specify SSH Protocol Version -vrf Specify vrf name WORD IP address or hostname of a remote system Etapa 2: SSH ao roteador R1 de S1. a. Você deve usar a opção l admin ao fazer SSH para R1. Isso permite que você efetue login como administrador de usuário. Quando solicitado, insira adminpass como a senha. S1# ssh -l admin Password: *********************************************** Warning: Unauthorized Access is Prohibited! *********************************************** R1# b. Você pode retornar para o S1 sem fechar a sessão SSH para R1 pressionando Ctrl+shift+6. Solte as teclas Ctrl+shift+6 e pressione x. Você verá a tela do prompt EXEC privilegiado do switch. R1# S1# 2014 Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 10 de 11

11 c. Para retornar à sessão SSH em R1, pressione Enter em uma linha CLI em branco. Pode ser necessário pressionar Enter na segunda vez em que vir o prompt CLI do roteador. S1# [Resuming connection 1 to ] R1# d. Para terminar a sessão SSH em R1, digite exit no prompt do roteador. R1# exit [Connection to closed by foreign host] S1# Que versões de SSH são suportadas no CLI? Reflexão Como você concederia acesso a um dispositivo de rede para vários usuários, cada um com seu próprio nome de usuário? Tabela resumo da interface do roteador Resumo da interface do roteador Modelo do roteador Interface Ethernet Nº 1 Interface Ethernet Nº 2 Interface serial Nº 1 Interface serial Nº Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) 1900 Gigabit Ethernet 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) 2801 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/1/0 (S0/1/0) Serial 0/1/1 (S0/1/1) 2811 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) 2900 Gigabit Ethernet 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) Observação: para descobrir como o roteador está configurado, analise as interfaces para identificar o tipo de roteador e quantas interfaces ele possui. Não há como listar com eficácia todas as combinações de configurações para cada classe de roteador. Esta tabela inclui identificadores para as possíveis combinações de interfaces seriais e Ethernet no dispositivo. Essa tabela não inclui nenhum outro tipo de interface, embora um roteador específico possa conter algum. Um exemplo disso poderia ser uma interface ISDN BRI. A sequência entre parênteses é a abreviatura válida que pode ser usada nos comandos IOS Cisco para representar a interface Cisco e/ou suas afiliadas. Todos os direitos reservados. Este documento contém informações públicas da Cisco. Página 11 de 11