交换机远程登录telnet、SSH、禁止非法用户访问实验

交换机远程登录实验

  • 交换机远程登录实验
    • 一、配置Console口登录设备
    • 二、配置Telnet远程登录
    • 三、Stelnet（SSH）配置
    • 四、远程登录实际中的配置
    • 五、禁止非法用户远程登录

交换机远程登录实验

———————————————————————————————————————————————————

一、配置Console口登录设备

当用户无法进行远程登录设备时，可通过Console口进行本地登录。使用Console口登录设备时需要密码认证，为了防止非法用户登录设备，修改Console用户界面的认证方式为AAA认证。

在这里插入图片描述
有很多第三方软件都可以进行配置，CRT/Xshell/MobaXterm1等。
以MobaXterm1举例。一般速率9600，其他默认。如果发现无法进入会话，在流量控制Xon/Xoff选择无。

在这里插入图片描述
配置命令：
system-view
[HUAWEI] user-interface console 0
[HUAWEI-ui-console0] authentication-mode aaa //认证方式AAA
[HUAWEI-ui-console0] quit
[HUAWEI] aaa
[HUAWEI-aaa] local-user admin1234 password XXXXX
[HUAWEI-aaa] local-user admin1234 service-type terminal
[HUAWEI-aaa] local-user admin1234 privilege level 3

执行以上操作后，用户使用Console用户界面重新登录设备时，需要输入用户名admin1234，认证密码XXXXX才能通过身份验证，成功登录设备。

——————————————————————————————————————————————

二、配置Telnet远程登录

最简单的举例，配置Telnet用户使用AAA验证登录。
在这里插入图片描述
（1）配置命令：
PC1:
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.1 24

LSW1:
sys
[Huawei]int vlan 1
[Huawei-Vlanif1]ip add 192.168.1.200 24 //配置管理地址

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

（2）验证：
在PC1上使用Telnet IP验证是否配置成功。

在这里插入图片描述
测试通信；Telnet登录；输入账户密码。
还可以用Password的认证方式，一般实际场景中建议使用AAA认证。

（3）检查配置
[Huawei]dis users //查看用户界面的用户登录信息

在这里插入图片描述
（4）其他功能
user-interface maximum-vty number //VTY用户界面的最大个数为15个。
telnet server port port-number //Telnet服务器的协议端口号，默认23，修改端口可以防止攻击。

——————————————————————————————————————————————

三、Stelnet（SSH）配置

Telnet协议存在安全风险，推荐使用STelnet登录设备。

在这里插入图片描述
配置命令：
在这里插入图片描述

LSW1:
1.配置SSH服务器的管理IP地址
[Huawei]int vlan 1
[Huawei-Vlanif1]ip add 192.168.150.200 24

2.开启SSH服务
[Huawei]stelnet server enable
[Huawei]ssh authentication-type default password

3.配置SSH服务器VTY用户界面
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound ssh

4.在服务器端创建本地用户，并配置用户服务方式。
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type ssh
[Huawei-aaa]local-user admin privilege level 3

5.在SSH服务器端生成本地密钥
[Huawei]rsa local-key-pair create
在这里插入图片描述
验证：
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

————————————————————————————————————————————

四、远程登录实际中的配置

之前的拓扑都是直连设备远程登录访问，实际中的网络，业务和管理VLAN是分开的，比如PC网段使用192.168.1.0段，那么管理交换机的网段会另外设定，比如管理网段使用192.168.100.0段。

在这里插入图片描述

看图：这里就有疑问了，首先模拟PC通过远程登录方式访问核心交换机，虽然网段不同，但是核心交换机上配置了业务VLAN IP和管理VLAN IP，模拟PC的数据包到达核心交换机，核心交换机查看路由表进行转发。
模拟PC远程访问接入交换机，直连访问的话，模拟PC和接入交换机很明显不在同一个网段，是不能进行直接访问。一会还原下过程。

配置命令：
模拟PC AR2：
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.150.1 24
[Huawei]ip route-static 0.0.0.0 0.0.0.0 192.168.150.254
//模拟PC的网关

LSW1:
[Huawei]vlan 10
[Huawei]vlan 100
[Huawei-vlan100]int vlan 100
[Huawei-Vlanif100]ip add 192.168.100.2 24 //配置管理VLAN IP

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 10
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type trunk
[Huawei-GigabitEthernet0/0/2]port trunk allow-pass vlan all

以Telnet来演示，SSH也是一回事。

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

[Huawei]ip route-static 0.0.0.0 0.0.0.0 192.168.100.1
//接入交换机配置默认路由特别重要，没这条默认路由，telnet过来的数据包无法返回。

LSW2：
[Huawei]vlan 10
[Huawei]vlan 100
[Huawei]int Vlanif 10
[Huawei-Vlanif10]ip add 192.168.150.254 24
[Huawei]int Vlanif 100
[Huawei-Vlanif100]ip add 192.168.100.1 24

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

验证：
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

过程：PC1 192.168.150.1访问接入交换机192.168.100.2，PC1首先找网关，数据包达到核心交换机，核心交换机查询路由表，发现VLAN100的直连路由，通过Trunk接口送到接入交换机，接入交换机通过默认路由器把数据转发出去。

————————————————————————————————————————————

五、禁止非法用户远程登录

合法用户访问telnet，除了运维部可以访问设备以外，其余用户均禁止远程访问交换机。

在这里插入图片描述
首先全网互通
PC1:
interface GigabitEthernet0/0/0
ip address 192.168.150.2 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.150.254

PC2:
interface GigabitEthernet0/0/0
ip address 192.168.150.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.150.254

PC3:
interface GigabitEthernet0/0/0
ip address 192.168.140.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.140.254

PC4：
interface GigabitEthernet0/0/0
ip address 192.168.130.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.130.254

SW1：
sysname WWB-JieRu-SW
vlan batch 10 100
interface Vlanif100
ip address 192.168.100.2 255.255.255.0
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/3
port link-type access
port default vlan 10
ip route-static 0.0.0.0 0.0.0.0 192.168.100.1

SW2：
sysname HeXin-SW
vlan batch 10 20 30 100
interface Vlanif10
ip address 192.168.150.254 255.255.255.0
interface Vlanif20
ip address 192.168.140.254 255.255.255.0
interface Vlanif30
ip address 192.168.130.254 255.255.255.0
interface Vlanif100
ip address 192.168.100.1 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/3
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/4
port link-type trunk
port trunk allow-pass vlan 2 to 4094
user-interface con 0
user-interface vty 0 4
authentication-mode aaa
aaa
local-user admin password cipher L#Z^+SA44;9NZPO3JBXBHA!!
local-user admin privilege level 3
local-user admin service-type telnet

SW4：
sysname XSB-JieRu-SW
vlan batch 30 100
interface Vlanif100
ip address 192.168.100.4 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/2
port link-type access
port default vlan 30
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

SW5：
sysname SCB-JieRu-SW
vlan batch 20 100
interface Vlanif100
ip address 192.168.100.3 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/2
port link-type access
port default vlan 20
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

————————————————————————————————————————
全网互通，接入交换机我都没有配置远程登录的命令，因为登录接入交换机首先要通过核心交换机，所以实验的结果只要访问核心交换机合法的通过，不合法的拒绝，就算OK。

配置ACL规则：运维部可以访问管理所有设备，其他部门禁止远程访问所有设备，文中的默认远程是Telnet，端口号23。
核心LSW2：
acl number 3000
rule 5 permit tcp source 192.168.150.0 0.0.0.255 destination 192.168.0.0 0.0.255.255 destination-port eq telnet
rule 10 deny tcp destination-port eq telnet

[HeXin-SW]user-interface vty 0 4
[HeXin-SW-ui-vty0-4]acl 3000 inbound

验证：
在这里插入图片描述
PC1可以访问，而PC3是无法访问任何远程设备的23端口。

ACL：
rule 5 permit tcp source 192.168.150.0 0.0.0.255 destination 192.168.0.0 0.0.255.255 destination-port eq telnet
一般ACL写的时候我们都是先拒绝在允许，如果拒绝的地址包含了允许的地址，那么就先允许后拒绝。而且还要看网段的数量。
先允许运维部192.168.150.0/24段访问所有的IP设备23端口。
rule 10 deny tcp destination-port eq telnet
然后在拒绝所有的IP访问所有的设备23端口的Telnet服务。
最后应用在VTY接口。实际情况可能更为复杂，根据实际情况进行配置。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/17513.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

汽车+ChatGPT 车内生活体验再升级

汽车+ChatGPT 车内生活体验再升级

这两年，人工智能工具ChatGPT爆火，在全球掀起了大模型之战。如今，最前沿的自然语言处理大模型应用到了人类的出行工具上，梅赛德斯-奔驰和微软官宣正在合作测试车载ChatGPT人工智能，并将面向约90万车主开启测试&#xff…
阅读更多...
【操作系统】磁盘调度算法 先来先服务、最短寻道时间优先、扫描算法、循环扫描算法

【操作系统】磁盘调度算法 先来先服务、最短寻道时间优先、扫描算法、循环扫描算法

目录 一、实验要求二、实验原理三、实验内容四、实验结果五、总结 一、实验要求 设计程序模拟先来先服务FCFS、最短寻道时间优先SSTF、扫描算法SCAN和循环扫描算法CSCAN的工作过程。假设有n个磁道号所组成的磁道访问序列，给定开始磁道号m和磁头移动的方向(正向或者反…
阅读更多...
Docker 安装Nginx

Docker 安装Nginx

查看Nginx镜像并拉取镜像： [rootlocalhost nginx]# docker search nginx NAME DESCRIPTION STARS OFFICIAL AUTOMATED nginx …
阅读更多...
火热的低代码和无代码赛道

火热的低代码和无代码赛道

一、背景 星霜荏苒，居诸不息。互联网技术飞速发展，软件的设计、开发、应用也是风发泉涌，无论是开发工具还是应用程序，都在不断追求降本增效，极大地推动了软件研发的长足进步。但然而，长期以来，我…
阅读更多...
Django_admin数据管理后台

Django_admin数据管理后台

目录 一、基础操作 二、自定义后台操作数据行为 源码等资料获取方法 admin数据管理后台是django内置的一个后台管理界面，能查看已注册模型类的数据结构，以及对数据的增删改。 一、基础操作 1.1 检查项目目录下的urls.py有没有如下配置 1.2 创建djan…
阅读更多...
以数字孪生技术服务社会，推动企业高质量发展

以数字孪生技术服务社会，推动企业高质量发展

随着“十四五”规划和2035年远景目标纲要中提出，要加快数字化发展，建设数字中国。为建设数字孪生智慧城市提供了国家战略指引。 新兴技术是数字孪生发展的助推剂，臻图信息通过数字孪生技术及研发的实景三维渲染引擎，搭载自主研发的…
阅读更多...
【快应用】快应用学习之页面周期函数onBackPress无法触发？

【快应用】快应用学习之页面周期函数onBackPress无法触发？

【关键词】 onBackPress、退出提示 【问题背景】 在学习和调试快应用的过程中&#xff0c;我在子页面中的onBackPress()函数中定制了退出的一个弹框提醒&#xff0c;将它作为组件引入父页面中&#xff0c;弹框却无法触发&#xff1f; 问题代码如下&#xff1a; 子页面 <t…
阅读更多...
第124天：内网安全-代理技术Socks协议路由不出网后渗透通讯CS-MSF上线

第124天：内网安全-代理技术Socks协议路由不出网后渗透通讯CS-MSF上线

知识点 #知识点&#xff1a; 1、代理软件使用-Win&Linux 2、代理协议使用-Socks4/5 3、CS&MSF-网络通讯&控制上线-隧道技术&#xff1a;解决不出网协议上线的问题&#xff08;利用出网协议进行封装出网&#xff09; -代理技术&#xff1a;解决网络通讯不通的问题&…
阅读更多...
多线程——python进阶知识

多线程——python进阶知识

多线程与多进程的区别 多线程是单个内核通过锁的手段实现同一时间运行多个程序&#xff0c;在某些情况下可以提升总体的运行效率。同时为了防止多个线程在对同一数据进行修改时导致的不可预测的后果&#xff0c;需要借助锁、队列等保证进程的同步。 多进程是多个内核执行多个…
阅读更多...
人工智能学术顶会——NeurIPS 2022 议题（网络安全方向）清单、摘要与总结

人工智能学术顶会——NeurIPS 2022 议题（网络安全方向）清单、摘要与总结

按语&#xff1a;随着大模型的崛起&#xff0c;将AI再次推向一个高峰&#xff0c;受到的关注也越来越大。在网络安全领域&#xff0c;除4大安全顶会外&#xff0c;一些涉及AI的安全话题&#xff0c;包括对AI的攻防研究&#xff0c;以及应用AI做安全的研究方向&#xff0c;也会发…
阅读更多...
快讯丨北京市委书记尹力到极智嘉调研指导

快讯丨北京市委书记尹力到极智嘉调研指导

据北京日报7月4日报道&#xff0c;2023全球数字经济大会开幕前夕&#xff0c;市委书记尹力围绕“深入学习贯彻新时代中国特色社会主义思想&#xff0c;推进全球数字经济标杆城市建设”&#xff0c;到海淀区、朝阳区调查研究。 7月3日下午&#xff0c;北京市委书记尹力到极智嘉全…
阅读更多...
ThreadLocal（全）- 代码实现

ThreadLocal（全）- 代码实现

ThreadLocal是Java中一个非常重要的线程技术。它可以让每个线程都拥有自己的变量副本&#xff0c;避免了线程间的竞争和数据泄露问题。在本文中&#xff0c;我们将详细介绍ThreadLocal的定义、用法及其优点。 ThreadLocal是Java中一个用来实现线程封闭技术的类。它提供了一个本…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023