交换机远程登录telnet、SSH、禁止非法用户访问实验

news2024/11/16 19:49:13

交换机远程登录实验

  • 交换机远程登录实验
    • 一、配置Console口登录设备
    • 二、配置Telnet远程登录
    • 三、Stelnet（SSH）配置
    • 四、远程登录实际中的配置
    • 五、禁止非法用户远程登录

交换机远程登录实验

———————————————————————————————————————————————————

一、配置Console口登录设备

当用户无法进行远程登录设备时，可通过Console口进行本地登录。使用Console口登录设备时需要密码认证，为了防止非法用户登录设备，修改Console用户界面的认证方式为AAA认证。

在这里插入图片描述
有很多第三方软件都可以进行配置，CRT/Xshell/MobaXterm1等。
以MobaXterm1举例。一般速率9600，其他默认。如果发现无法进入会话，在流量控制Xon/Xoff选择无。

在这里插入图片描述
配置命令：
system-view
[HUAWEI] user-interface console 0
[HUAWEI-ui-console0] authentication-mode aaa //认证方式AAA
[HUAWEI-ui-console0] quit
[HUAWEI] aaa
[HUAWEI-aaa] local-user admin1234 password XXXXX
[HUAWEI-aaa] local-user admin1234 service-type terminal
[HUAWEI-aaa] local-user admin1234 privilege level 3

执行以上操作后，用户使用Console用户界面重新登录设备时，需要输入用户名admin1234，认证密码XXXXX才能通过身份验证，成功登录设备。

——————————————————————————————————————————————

二、配置Telnet远程登录

最简单的举例，配置Telnet用户使用AAA验证登录。
在这里插入图片描述
（1）配置命令：
PC1:
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.1 24

LSW1:
sys
[Huawei]int vlan 1
[Huawei-Vlanif1]ip add 192.168.1.200 24 //配置管理地址

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

（2）验证：
在PC1上使用Telnet IP验证是否配置成功。

在这里插入图片描述
测试通信；Telnet登录；输入账户密码。
还可以用Password的认证方式，一般实际场景中建议使用AAA认证。

（3）检查配置
[Huawei]dis users //查看用户界面的用户登录信息

在这里插入图片描述
（4）其他功能
user-interface maximum-vty number //VTY用户界面的最大个数为15个。
telnet server port port-number //Telnet服务器的协议端口号，默认23，修改端口可以防止攻击。

——————————————————————————————————————————————

三、Stelnet（SSH）配置

Telnet协议存在安全风险，推荐使用STelnet登录设备。

在这里插入图片描述
配置命令：
在这里插入图片描述

LSW1:
1.配置SSH服务器的管理IP地址
[Huawei]int vlan 1
[Huawei-Vlanif1]ip add 192.168.150.200 24

2.开启SSH服务
[Huawei]stelnet server enable
[Huawei]ssh authentication-type default password

3.配置SSH服务器VTY用户界面
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound ssh

4.在服务器端创建本地用户，并配置用户服务方式。
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type ssh
[Huawei-aaa]local-user admin privilege level 3

5.在SSH服务器端生成本地密钥
[Huawei]rsa local-key-pair create
在这里插入图片描述
验证：
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

————————————————————————————————————————————

四、远程登录实际中的配置

之前的拓扑都是直连设备远程登录访问，实际中的网络，业务和管理VLAN是分开的，比如PC网段使用192.168.1.0段，那么管理交换机的网段会另外设定，比如管理网段使用192.168.100.0段。

在这里插入图片描述

看图：这里就有疑问了，首先模拟PC通过远程登录方式访问核心交换机，虽然网段不同，但是核心交换机上配置了业务VLAN IP和管理VLAN IP，模拟PC的数据包到达核心交换机，核心交换机查看路由表进行转发。
模拟PC远程访问接入交换机，直连访问的话，模拟PC和接入交换机很明显不在同一个网段，是不能进行直接访问。一会还原下过程。

配置命令：
模拟PC AR2：
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.150.1 24
[Huawei]ip route-static 0.0.0.0 0.0.0.0 192.168.150.254
//模拟PC的网关

LSW1:
[Huawei]vlan 10
[Huawei]vlan 100
[Huawei-vlan100]int vlan 100
[Huawei-Vlanif100]ip add 192.168.100.2 24 //配置管理VLAN IP

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 10
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type trunk
[Huawei-GigabitEthernet0/0/2]port trunk allow-pass vlan all

以Telnet来演示，SSH也是一回事。

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

[Huawei]ip route-static 0.0.0.0 0.0.0.0 192.168.100.1
//接入交换机配置默认路由特别重要，没这条默认路由，telnet过来的数据包无法返回。

LSW2：
[Huawei]vlan 10
[Huawei]vlan 100
[Huawei]int Vlanif 10
[Huawei-Vlanif10]ip add 192.168.150.254 24
[Huawei]int Vlanif 100
[Huawei-Vlanif100]ip add 192.168.100.1 24

[Huawei]telnet server enable //使能Telnet功能
[Huawei]user-interface vty 0 4
[Huawei-ui-vty0-4]authentication-mode aaa
[Huawei-ui-vty0-4]protocol inbound telnet //指定VTY用户界面所支持的协议为Telnet
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher ensp.com
[Huawei-aaa]local-user admin service-type telnet
[Huawei-aaa]local-user admin privilege level 3

验证：
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

过程：PC1 192.168.150.1访问接入交换机192.168.100.2，PC1首先找网关，数据包达到核心交换机，核心交换机查询路由表，发现VLAN100的直连路由，通过Trunk接口送到接入交换机，接入交换机通过默认路由器把数据转发出去。

————————————————————————————————————————————

五、禁止非法用户远程登录

合法用户访问telnet，除了运维部可以访问设备以外，其余用户均禁止远程访问交换机。

在这里插入图片描述
首先全网互通
PC1:
interface GigabitEthernet0/0/0
ip address 192.168.150.2 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.150.254

PC2:
interface GigabitEthernet0/0/0
ip address 192.168.150.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.150.254

PC3:
interface GigabitEthernet0/0/0
ip address 192.168.140.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.140.254

PC4：
interface GigabitEthernet0/0/0
ip address 192.168.130.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.130.254

SW1：
sysname WWB-JieRu-SW
vlan batch 10 100
interface Vlanif100
ip address 192.168.100.2 255.255.255.0
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/3
port link-type access
port default vlan 10
ip route-static 0.0.0.0 0.0.0.0 192.168.100.1

SW2：
sysname HeXin-SW
vlan batch 10 20 30 100
interface Vlanif10
ip address 192.168.150.254 255.255.255.0
interface Vlanif20
ip address 192.168.140.254 255.255.255.0
interface Vlanif30
ip address 192.168.130.254 255.255.255.0
interface Vlanif100
ip address 192.168.100.1 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/3
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/4
port link-type trunk
port trunk allow-pass vlan 2 to 4094
user-interface con 0
user-interface vty 0 4
authentication-mode aaa
aaa
local-user admin password cipher L#Z^+SA44;9NZPO3JBXBHA!!
local-user admin privilege level 3
local-user admin service-type telnet

SW4：
sysname XSB-JieRu-SW
vlan batch 30 100
interface Vlanif100
ip address 192.168.100.4 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/2
port link-type access
port default vlan 30
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

SW5：
sysname SCB-JieRu-SW
vlan batch 20 100
interface Vlanif100
ip address 192.168.100.3 255.255.255.0
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 4094
interface GigabitEthernet0/0/2
port link-type access
port default vlan 20
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

————————————————————————————————————————
全网互通，接入交换机我都没有配置远程登录的命令，因为登录接入交换机首先要通过核心交换机，所以实验的结果只要访问核心交换机合法的通过，不合法的拒绝，就算OK。

配置ACL规则：运维部可以访问管理所有设备，其他部门禁止远程访问所有设备，文中的默认远程是Telnet，端口号23。
核心LSW2：
acl number 3000
rule 5 permit tcp source 192.168.150.0 0.0.0.255 destination 192.168.0.0 0.0.255.255 destination-port eq telnet
rule 10 deny tcp destination-port eq telnet

[HeXin-SW]user-interface vty 0 4
[HeXin-SW-ui-vty0-4]acl 3000 inbound

验证：
在这里插入图片描述
PC1可以访问，而PC3是无法访问任何远程设备的23端口。

ACL：
rule 5 permit tcp source 192.168.150.0 0.0.0.255 destination 192.168.0.0 0.0.255.255 destination-port eq telnet
一般ACL写的时候我们都是先拒绝在允许，如果拒绝的地址包含了允许的地址，那么就先允许后拒绝。而且还要看网段的数量。
先允许运维部192.168.150.0/24段访问所有的IP设备23端口。
rule 10 deny tcp destination-port eq telnet
然后在拒绝所有的IP访问所有的设备23端口的Telnet服务。
最后应用在VTY接口。实际情况可能更为复杂，根据实际情况进行配置。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/738225.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

解锁数字化转型利器：探秘常用低代码工具大揭秘！

解锁数字化转型利器：探秘常用低代码工具大揭秘！

随着数字化转型的深入推进，越来越多的企业开始采用低代码工具来加快应用程序的开发速度。在本文中，我们将介绍常用的低代码工具有哪些？以帮助企业了解并选择适合自己的工具。 1、Zoho Creator Zoho Creator是一款低代码开发平台，提…
阅读更多...
Docker配置阿里镜像加速源，超详细

Docker配置阿里镜像加速源，超详细

1、首先登入阿里云账号,点击 控制台 　  2、搜索框查找 容器镜像服务 　  3、点击 镜像加速器 ,选择对应的操作系统 　  4、复制加速地址,在系统中配置 默认路径 /etc/docker/daemon.json 5、重启Docker systemctl daemon-reload systemctl restart docker6、验证 当…
阅读更多...
【数据结构与算法】力扣：对称二叉树

【数据结构与算法】力扣：对称二叉树

对称二叉树 给你一个二叉树的根节点 root ， 检查它是否轴对称。 示例 1： 输入：root [1,2,2,3,4,4,3] 输出：true 示例 2： 输入：root [1,2,2,null,3,null,3] 输出：false 来源：…
阅读更多...
Windows+IDEA+Nginx反向代理本机实现简单集群

Windows+IDEA+Nginx反向代理本机实现简单集群

先简单创建一个项目，可以是Maven也可以是Spring Initializr，如果是 Maven则需要自己配置启动类 按照目录路径创建controller类 package com.cloud.SR.controller;import org.springframework.beans.factory.annotation.Autowired; import org.springfram…
阅读更多...
mac intellij idea配置settings.xml报错解决

mac intellij idea配置settings.xml报错解决

今天在配置环境的时候，发现在运行代码的时候不断报错提示maven没有能够成功地被sync，解决方法将以下三点解决了之后，程序最终跑起来了。 1.将maven的版本配置对，之前项目都用的maven-3.8.5这个版本，而我原先用的是mave…
阅读更多...
MQ集群搭建

MQ集群搭建

1.⾸先，克隆⼀台IP地址为192.168.230.132的虚拟机，然后参考章节的内 容，在该主机上安装RabbitMQ等环境。再加上之前的虚拟机，这样我们就准备好了两台Linux服 务器。 修改/etc/hosts映射⽂件。 vim /etc/hosts 3.两台Linux主机修改…
阅读更多...
python识别登录验证码图片中字符

python识别登录验证码图片中字符

应用场景：在测试接口时，需要先自动执行登录接口，登录接口需要输入图片中的字符验证码。 实现的步骤主要有以下几步： 一、执行/captcha接口，从接口响应中提取图形验证码的base64编码值； 二、去掉base64编码…
阅读更多...
STM32CubeIDE使用示例（STM32CubeMX+STM32CubeIDE+Gcc+JLINK+STM32G030C8T6）

STM32CubeIDE使用示例（STM32CubeMX+STM32CubeIDE+Gcc+JLINK+STM32G030C8T6）

本文简单记录下STM32CubeIDE的使用方法，整体的环境是STM32CubeMXSTM32CubeIDEGccJLINKSTM32G030C8T6，实现的简单测试功能是让STM32G030C8T6板子上的LED闪烁，以STM32G030C8T6 PB4 脚做LED 输出闪烁为例，外部8MHZ 晶振,系统主频64MH…
阅读更多...
word 目录创建与提取

word 目录创建与提取

前言 word实际上一直在用，但是笔者在写文档都没关注目录的概念，实际上目录就是富文本或markdown编辑器的标题，可以起到跳转的作用。笔者的毕业论文的目录居然还是手打的。 目录创建 实际上word书写的时候就需要设置标题，最近的…
阅读更多...
雅思单词量要达到多少才能达到要求？

雅思单词量要达到多少才能达到要求？

对于刚开始备考雅思的同学来说，雅思单词是考好雅思的基础，雅思单词量要达到多少才能过关呢？下面为大家介绍一下雅思词汇量的要求。 一、雅思词汇量要求 雅思听力词汇 3000～5000左右，雅思听力是以场景展开的&#xff…
阅读更多...
51单片机--定时器与按键控制流水灯模式

51单片机--定时器与按键控制流水灯模式

文章目录 定时器定时器的介绍定时器的作用定时器框图定时器的工作模式计数器原理图： 中断系统中断程序流程STC89C52的中断资源定时器和中断系统 定时器的相关寄存器TCONTMODTH与TL有关中断的寄存器 按键控制流水灯模式 定时器 定时器的介绍 51单片机上的定时器是一…
阅读更多...
率先布局 RWA 赛道，PoseiSwap 成为最具先进性的 DEX

率先布局 RWA 赛道，PoseiSwap 成为最具先进性的 DEX

RWA 全称为现实资产通证化，比如股票、期货、美债甚至房产等传统资产。RWA 正在成为加密行业发展的一个全新叙事方向，除了传统商业巨头比如高盛、西门子等开始向该领域深入布局外，以 MakerDAO、Binance、Aave、Maple Finance 等为代表的 Web3 …
阅读更多...
MySQL_2

MySQL_2

目录 一、函数 1、字符串函数 2、数值函数 3、日期函数 4、流程控制函数 二、约束 1、概念：约束是作用于表中字段上的规则，用于限制存储在表中的数据。 2、目的：保证数据库中数据的正确、有效性和完整性。 3、分类 4、外键约束 4…
阅读更多...
命名管道使用示例

命名管道使用示例

用命名管道实现client和server端进行通信 【实现步骤】 创建两个没有关系的进程--》编写client和server源文件，并分别编译成可执行程序；创建命名管道文件，用函数int mkfifo(const char *filename,mode_t mode);client端以写的方式打开管道文…
阅读更多...
日志消息直接发送到kafka设计

日志消息直接发送到kafka设计

背景： 日常工作中，我们一般都有需要分析业务日志的需求，有些业务日志记录了用户点击或者用户购买行为等有用的信息，所以我们一般都需要基于这些日志进行分析，本文我们就来看一下这种日志消息的流转图 技术方案&#…
阅读更多...
阿里云ECS扩容硬盘空间及文件系统

阿里云ECS扩容硬盘空间及文件系统

一.通过阿里云控制台扩容硬盘 前往ECS实例详情页面的云盘页签。 登录ECS管理控制台。在左侧导航栏，选择实例与镜像 > 实例。在顶部菜单栏处，选择目标ECS实例所在地域。找到待扩容云盘所在的实例，单击实例ID。在实例详情页面，单…
阅读更多...
一起来探索录音转文字哪个软件好用

一起来探索录音转文字哪个软件好用

在数字时代，录音转文字技术成为了一种不可或缺的工具，通过将语音内容转化为可编辑和搜索的文字，从而为我们带来了许多便利。那本文将探讨录音转文字的好处，并分享一些实际案例以及录音转文字软件。那么如果你还不知道录音转文字哪…
阅读更多...
想做软件测试工程师，这7件事你必须先知道

想做软件测试工程师，这7件事你必须先知道

目录 一、“开发者测试” 就是“开发者来测试” 二、没有什么测试不可以“自动化测试” 三、开发者测试”利在当下“，”赢得未来“ 四、TDD不是必须先写测试代码 五、UT覆盖率100%真的很不好 六、用测试来驱动架构和代码质量 七、从“我要写测试依赖代码”到“…
阅读更多...
在iPad上轻松做笔记和绘画，西圣Pencil上手

在iPad上轻松做笔记和绘画，西圣Pencil上手

触控笔是一种提高工作学习效率的方便工具，尤其是和平板搭配使用。但是iPad的Apple Pencil价格昂贵，不适合学生等经济条件有限的用户，所以他们需要寻找一些性价比高的国产替代品。我最近用了一支国产的电容触控笔，叫做西圣Pencil触…
阅读更多...
[C++] C++11新特性分析介绍(1): 列表初始化、右值引用、完美转发、移动语义...

[C++] C++11新特性分析介绍(1): 列表初始化、右值引用、完美转发、移动语义...

文章目录 [toc] C11介绍统一的列表初始化 {}initializer_list新的声明autodecltypenullptr 范围for智能指针STL 新容器**右值引用 ****容器中 另外的右值引用 **万能引用与完美转发 ****新的类功能新默认成员函数强制生成默认函数的关键字 default禁止生成默认函数的关键字 del…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023