Configurar SSH En Router Cisco

SSH o Security Shell es un interprete de comando seguro y cifra el trafico, haciendo inservible un ataque de sniffing.

SSH provee soporte para autenticacion basada en usuario/contraseña y autenticacion basada en RSA por tal motivo supera a Telnet que envia los paquetes en texto plano.

Configuración:

Router(config)#hostname ADC

(Es necesario configurar el nombre del Router sino no dejar configurar SSH)

ADC(config)#ip domain-name ADC.com.ve

(Cisco se basa en estas 2 variables para generar las claves RSA. El nombre y el Dominio para generarlas)

ADC(config)#crypto key generate rsa 1024

(Genera las claves RSA con un tamaño de 1024 bits)

ADC(config)#ip ssh time-out 30

(Configura el Tiempo de Espera esto es en Segundos)

ADC(config)#ip ssh authentication-retries 3

(Configura un maximo de logins fallidos)

ADC(config)#ip ssh version 2

(Habilitar de SSH version 2)

ADC(config)#username Andeco privilege 15 password 4dcbl0g5p0t

(Configura los Usuario que tendran acceso via SSH y los privilegios)

ADC(config)#line vty 0 4

(Linea donde se aplicara el SSH)

ADC(config-line)#transport input ssh

(Activa el SSH en la Line VTY)

ADC(config-line)#login local

(Para que se haga uso del usuario)

Comandos para verificación

ADC#show ip ssh
(Muestras las opciones de SSH Activas)

ADC#show ssh
(Muestras los usuarios conectados por SSH)

ADC(config)#logging on
ADC(config)#logging console
ADC(config)#exit
ADC#debug ip ssh

(Habilitación de Debugging para SSH)

ADC#disconnect ssh 4

ADC#Clear Line 4
(Desconexión de Un Usuario Remoto el Numero indica la VTY)

Cliente SSH Desde El Router

LinkOut#ssh -l USUARIO DIRECCION IP

Ejemplo:
ADC#ssh -l Andeco 200.84.12.192

Seguir Leyendo

Mejores Practicas Cisco (comandos)

Descripción

En esta apartado te voy a dar a conocer, las configuraciones generales que debiese tener todo switch, para mantener el equipo más confiable de ataques o acceso a la red sin autorización.

Empecemos:

1. Deshabilitación de servicios no utilizados

Descripción : Deshabilitación de servicios no utilizados por la plataforma.

Comandos a aplicar :

no ip source-route
no service pad
no ip finger
no ip bootp server
no mop enable

2. Habilitación de comandos para minimizar impacto de ataque a los equipos

Descripción : Los siguientes comandos permiten mejorar las respuestas de equipo (para su administración) en caso de un ataque basado en inundación de tráfico, mientras que los TCP keepalives permiten prevenir sesiones truncadas en caso de desconexiones repentinas.

Comandos a aplicar :

scheduler allocate
service tcp-keepalives-in
service tcp-keepalives-out

3. Habilitación de traps

Descripción : Habilitación de traps generados por eventos o cambios de configuración en los equipos.

loggin traps
logging event link-status default
snmp-server enable traps vtp
snmp-server enable traps vlancreate
snmp-server enable traps vlandelete
snmp-server enable traps envmon
snmp-server enable traps stackwise
snmp-server enable traps config
snmp-server enable traps hsrp
snmp-server enable traps ipmulticast

4. Habilitación de Root Guard

Descripción: Definición de perímetro de seguridad de STP. Estos comandos serán aplicados en las interfaces de acceso de los equipos.

Comandos a utilizar:

Interface [tipo][numero]
spanning-tree guard root
o
spanning-tree rootguard


5. Habilitación de BPDU Guard

Descripción : Permitirá deshabilitar una puerta en caso que se conecte un switch a una puerta configurada con portfast (De esta forma se evita que la inserción de un switch en la red sea descontrolada)

Comandos a utilizar:

spanning-tree portfast bpduguard


6. Conf. Passwords, nombre y otros

#conf t
enable secret xxxxxxxx
line con 0
exec-timeout 5 0
password xxxxxxxxx
line vty 0 4
exec-timeout 5 0
timeout login response 300
password xxxxxxxxxx
login
line vty 5 15
no login

udld enable
no ip http server
no setup express
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
no ip source-routeno ip domain-lookup
service timestamps debug datetime localtime
service timestamps log datetime localtime
service password-encryption

logging buffered 8000 debugging

spanning-tree mode rapid-pvst
spanning-tree portfast bpduguard default
spanning-tree extend system-id

Seguir Leyendo