حماية الـ Management Plane: SSH و Access-Class

الدخول على الأجهزة نفسه لازم يكون محمي: SSH بدل telnet المكشوف، ومستخدمين محليين بـ secret، و exec-timeout، والأهم: access-class على الـ vty عشان شبكة الإدارة بس تقدر توصل. نطبّقها خطوة خطوة، ونجرّب من جهاز إدارة ومن جهاز مستخدم عادي.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.0.1 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.1.1 255.255.255.0
no shutdown
username admin privilege 15 secret Adm1n@2026
line vty 0 4
transport input telnet
login local
end

حيّاك الله. كل الحماية اللي بنيناها ما لها قيمة إذا أي أحد يقدر يدخل على الراوتر نفسه. والوضع الحالي في المعمل، وهو منتشر في شبكات كثيرة: telnet مفتوح على الـ vty. والـ telnet يرسل كل شي نص مكشوف، حتى كلمة السر. ومن أي شبكة. شبكة الإدارة PC1، وشبكة المستخدمين PC2. نجرّب من PC2، جهاز موظف عادي.

PC2

telnet 10.0.1.1
admin
Adm1n@2026

موظف عادي دخل على الراوتر، بـ telnet، وكلمة السر مرت مكشوفة على الشبكة. نصلّح بالترتيب. أول شي SSH: يحتاج hostname و domain name، وبعدها مفتاح RSA، ألفين وثمانية وأربعين bit على الأقل. وبعدها ip ssh version two، لأن النسخة الأولى ضعيفة. وعلى الـ vty: transport input ssh بس، و exec-timeout عشان الجلسة المتروكة تقفل. نطبّق.

PC2

exit

configure terminal
ip domain-name basma.lab
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
transport input ssh
exec-timeout 5 0
end

PC1

telnet 10.0.0.1
ssh -l admin 10.0.0.1
Adm1n@2026

الـ telnet انرفض، و SSH دخل. والحين كل شي مشفّر. لكن للحين فيه مشكلة: PC2، جهاز الموظف، يقدر يحاول SSH. ولو كلمة السر ضعيفة أو مسرّبة، يدخل. والحل: access-class. يعني ACL standard، تطابق عنوان المصدر، وتنطبّق على خطوط الـ vty نفسها. أي أحد من خارج شبكة الإدارة، ما يوصل حتى لشاشة كلمة السر.

PC1

exit

الحين دورك. سوّ ACL standard اسمها MGMT تسمح لشبكة الإدارة ten dot zero dot zero dot zero slash twenty four بس، وطبّقها access-class in على الـ vty. وجرّب SSH من PC2، ومن PC1. وقّف الفيديو، وجرّب.

تمرين: على R1: ip access-list standard MGMT ← permit 10.0.0.0 0.0.0.255، و line vty 0 4 ← access-class MGMT in. بعدها ssh -l admin 10.0.1.1 من PC2، و ssh -l admin 10.0.0.1 من PC1.

الحل.

configure terminal
ip access-list standard MGMT
permit 10.0.0.0 0.0.0.255
line vty 0 4
access-class MGMT in
end

PC2

ssh -l admin 10.0.1.1

PC1

ssh -l admin 10.0.0.1
Adm1n@2026

PC2 انرفض فوراً، وما شاف حتى شاشة كلمة السر، و PC1 دخل عادي. وانتبه: الـ access-class على الـ vty يحمي الدخول للراوتر، لكن ما يفلتر الترافيك اللي يمر من خلاله. هذي وظيفة الـ ACL على الواجهات. الخلاصة: SSH version two بدل telnet، و exec-timeout، و access-class لشبكة الإدارة. والدرس الجاي نختم محور الأمان بحماية IPv6 في الـ first hop.

دروس المسار (74)