دليل إعداد SSH على موجه سيسكو: تكوين آمن خطوة بخطوة

المقدمة

يبدأ الوصول الآمن عن بُعد إلى أجهزة الشبكة بالضبط في إعداد SSH بالشكل الصحيح. إذا كنت لا تزال تستخدم Telnet أو تعتمد على إعدادات ضعيفة أو افتراضية على موجهات Cisco الخاصة بك، فإنك تعرض مستوى إدارة الشبكة لمخاطر خطيرة. يقوم SSH بتشفير حركة مرور الإدارة، وحماية بيانات الاعتماد، ويمنحك طريقة أكثر أمانًا لتهيئة الموجهات ومراقبتها.

يرشدك هذا الدليل خطوة بخطوة عبر إعداد SSH كامل على موجه Cisco من الصفر. ستتعلم كيفية إعداد الموجه، وتهيئة SSH، واختبار الاتصال، وتشديد الوصول، ودمج AAA، وحل المشكلات الشائعة. يبني كل قسم على الذي قبله للحفاظ على وضوح العملية ومنطقيتها.

في النهاية، سيكون لديك إعداد SSH قابل لإعادة الاستخدام يمكنك تطبيقه على موجهات Cisco الخاصة بك. بعدها يمكنك تكييفه مع بيئتك باستخدام القوالب والأتمتة مع إبقاء الأمان في قلب كل قرار. ومع فهم الأساسيات، ابدأ بفهم ما يفعله SSH فعليًا على موجه Cisco ولماذا هو مهم إلى هذا الحد.

ما هو SSH على موجه Cisco ولماذا هو مهم

Secure Shell (SSH) هو بروتوكول يوفر وصولاً عن بُعد مشفرًا إلى أجهزة الشبكة. على موجه Cisco، يحمي SSH بيانات اعتماد تسجيل الدخول وأوامر التهيئة من التنصت والتلاعب. أي شخص يعترض حركة مرور SSH سيرى بيانات مشفرة بدلًا من أسماء مستخدمين وكلمات مرور بنص واضح.

في المقابل، يرسل Telnet كل شيء كنص عادي. يمكن للمهاجمين التقاط الحزم على شبكة غير موثوقة وقراءة بيانات اعتمادك باستخدام أدوات بسيطة. لهذا السبب توصي كل إرشادات الأمان الحديثة تقريبًا بتعطيل Telnet وتمكين SSH لإدارة الأجهزة.

على موجهات Cisco، يدعم SSH ثلاث وظائف أساسية:

• المصادقة: يتحقق الموجه من هويتك باستخدام مستخدمين محليين أو AAA.
• التشفير: يقوم الموجه بتشفير الحركة باستخدام مفاتيح وخوارزميات آمنة.
• السلامة: تحمي الجلسة من التلاعب أثناء انتقال البيانات.

يُعد الإصدار 2 من SSH المعيار الذي يجب استخدامه. فهو يوفر أمانًا أفضل وميزات أكثر من الإصدار 1. يدعم Cisco IOS SSHv2 على معظم المنصات الحالية، ويمكنك إجبار الموجه صراحة على استخدام SSHv2 فقط.

يعد SSH مهمًا لأن مستوى الإدارة غالبًا ما يكون الجزء الأقوى في شبكتك. إذا تمكن شخص ما من التحكم في موجهاتك، يمكنه إعادة توجيه الحركة، أو إنشاء أبواب خلفية، أو إيقاف أجزاء من الشبكة عن العمل. يقلل إعداد SSH الصحيح من هذا الخطر ويكوّن الأساس لاستراتيجية إدارة شبكة آمنة.

قبل تفعيل SSH، عليك التأكد من أن أجهزتك وبيئتك تستوفي بعض المتطلبات الأساسية المهمة. يساعدك هذا على تجنب المشكلات الشائعة وإبقاء عملية التهيئة سلسة.

المتطلبات الأساسية لإعداد SSH على موجه Cisco

قبل تهيئة SSH على موجه Cisco، تأكد من أن العتاد والبرمجيات والأذونات وبيئة الشبكة يمكنها دعم نشر آمن. تخطي هذه الفحوصات يؤدي غالبًا إلى إخفاقات مزعجة في الاتصال لاحقًا.

متطلبات العتاد والبرمجيات

ابدأ بالتأكد من أن موجه Cisco وإصدار IOS يدعمان SSH. معظم الموجهات الموجهة للمؤسسات وصور IOS الحديثة تتضمن SSH، لكن الصور القديمة أو المختزلة قد لا تفعل ذلك.

يجب عليك:

• التحقق من مجموعة ميزات IOS والإصدار باستخدام الأمر show version.
• التحقق من أن الموجه يمتلك قدرًا كافيًا من وحدة المعالجة والذاكرة لعمليات التشفير.
• التأكد من أن الجهاز يعمل بإصدار IOS حديث ومدعوم مع تصحيحات أمان محدثة.

إذا لم يُذكر SSH في الوثائق أو لم يتعرف الموجه على أوامر SSH، فقد تحتاج إلى صورة محدثة أو منصة أحدث.

متطلبات الوصول والأذونات

لتهيئة SSH، يجب أن تمتلك مستوى الوصول والموافقة المناسبين:

• وصول عبر منفذ الكونسول أو وصول عن بُعد حالي إلى الموجه.
• وصول إلى وضع الامتياز (enable)، عادةً مستوى الامتياز 15.
• تفويض من مؤسستك لتغيير إعدادات وصول الإدارة.

بدون مستوى امتياز 15 أو التفويض المناسب، لن تتمكن من إنشاء المفاتيح، أو تهيئة خطوط VTY، أو تغيير إعدادات AAA.

اعتبارات الشبكة والأمان

تحتاج أيضًا إلى مراعاة مسار الشبكة وتصميم الأمان الذي سيدعم إعداد SSH على موجه Cisco:

• يجب أن يمتلك الموجه عنوان IP للإدارة يمكن الوصول إليه على الأقل.
• يجب أن تسمح التوجيهات لمحطة عمل الإدارة بالوصول إلى ذلك العنوان.
• يجب أن تسمح الجدران النارية وقوائم التحكم بالوصول إلى المنفذ TCP 22 (SSH) حيثما يلزم.
• من الأفضل استخدام VLAN أو VRF مخصص للإدارة للوصول إلى الأجهزة.

مع توفر هذه المتطلبات الأساسية، تكون جاهزًا لإعداد الموجه نفسه لتهيئة SSH. الخطوة التالية هي منح الموجه هوية مناسبة ومفاتيح تشفيرية.

تهيئة موجه Cisco لإعداد SSH

قبل تمكين SSH، يحتاج الموجه إلى هوية متسقة ومفاتيح تشفيرية. تُنشئ هذه الخطوات الأساس لخدمة SSH آمنة ستبنى عليها الإعدادات الأخرى.

تعيين اسم المضيف واسم النطاق

يستخدم SSH على موجهات Cisco اسم المضيف واسم النطاق كجزء من إنشاء المفاتيح والتعريف. إذا تخطيت هذه الخطوة، غالبًا ما يفشل إنشاء المفاتيح أو ينتج عنه نتائج غير متسقة.

قم بتهيئة ما يلي:

1. اسم مضيف ذي معنى، على سبيل المثال:
   hostname R1-Core
2. اسم نطاق، على سبيل المثال:
   ip domain-name corp.example.com

اختر أسماء تتبع معايير التسمية الداخلية لديك حتى تتمكن بسهولة من تحديد الأجهزة في مطالبات مفاتيح مضيف SSH والسجلات.

إنشاء أزواج مفاتيح RSA

بعد ذلك، أنشئ مفاتيح RSA لـ SSH. تشكل هذه المفاتيح الهوية التشفيرية للموجه.

شغّل الأمر:

crypto key generate rsa modulus 2048

يعد طول 2048 بت قيمة أساسية جيدة من حيث الأمان والأداء. تزيد أطوال المفاتيح الأعلى من مستوى الأمان لكنها قد ترفع استخدام وحدة المعالجة. بمجرد تشغيل الأمر، ينشئ الموجه المفاتيح ويفعل خادم SSH إن كان مدعومًا.

إذا قمت لاحقًا بتغيير اسم المضيف أو اسم النطاق، فأعد إنشاء المفاتيح حتى تطابق الهوية الجديدة. هذا يحافظ على ثبات بصمات مفاتيح المضيف لعملاء SSH لديك.

التحقق من قدرة IOS على تشغيل SSH

بعد إنشاء المفاتيح، تأكد من أن SSH نشط ومدعوم من صورة IOS:

• شغّل show ip ssh لرؤية إصدار SSH، حالة المفاتيح، المهلة، ومحاولات المصادقة.
• تحقق من أي رسائل خطأ تشير إلى ميزات تشفير مفقودة.

إذا أعاد الأمر خطأ أو لم يعرض بيانات SSH، أعد التحقق من صورة IOS ومجموعة الميزات وخطوات إنشاء المفاتيح. مع توفر SSH الآن على مستوى المنصة، يمكنك الانتقال إلى الإعداد الأساسي الذي سيتحكم في كيفية اتصال المسؤولين.

إعداد SSH الأساسي على موجه Cisco

ينشئ الإعداد الأساسي لـ SSH المستخدمين، ويفرض الإصدارات الآمنة، ويعد خطوط VTY لتسجيل الدخول عن بُعد. هنا يصبح موجهك متاحًا بأمان عبر SSH بدلًا من Telnet.

إنشاء حسابات مستخدمين محلية آمنة

ابدأ بإنشاء حساب مسؤول واحد على الأقل. استخدم الكلمة المفتاحية secret بدلًا من password العادية للحصول على تجزئة أقوى.

مثال:

username netadmin privilege 15 secret StrongP@ssw0rd!

إرشادات:

• استخدم أسماء مستخدمين فريدة، وليس اسمًا عامًا مثل ‘admin’.
• استخدم كلمات سر طويلة ومعقدة يصعب تخمينها.
• تجنب إعادة استخدام كلمات المرور عبر الأجهزة أو الأنظمة.

إذا كنت تخطط لاستخدام AAA لاحقًا، لا تزال بحاجة إلى حساب محلي واحد على الأقل كخيار احتياطي في حال تعذّر الوصول إلى خادم AAA.

تمكين SSH الإصدار 2 فقط

أجبر الموجه على استخدام SSHv2، الذي يوفر أمانًا أفضل وميزات أكثر قوة.

استخدم:

ip ssh version 2

يمكنك أيضًا ضبط سلوك SSH:

ip ssh time-out 60
ip ssh authentication-retries 3

تتحكم هذه الإعدادات في المدة التي ينتظر فيها الموجه تسجيل الدخول وعدد المحاولات المسموح بها قبل إنهاء الجلسة. تساعد هذه الإعدادات في تقليل تأثير هجمات التخمين المتكرر (brute-force).

تهيئة خطوط VTY للوصول عبر SSH

تتعامل خطوط VTY مع الجلسات عن بُعد. يجب تقييدها على SSH وتطبيق طرق تسجيل دخول آمنة.

مثال على التهيئة:

line vty 0 4
transport input ssh
login local
exec-timeout 10 0

يضمن هذا الإعداد ما يلي:

• تعطيل Telnet على خطوط VTY من 0 إلى 4.
• مصادقة المستخدمين باستخدام الحسابات المحلية المعرفة.
• قطع الجلسات الخاملة بعد فترة آمنة.

حفظ التهيئة الجارية والتحقق منها

بمجرد الانتهاء من الإعداد الأساسي، احفظ التهيئة وتحقق منها:

1. احفظ التهيئة:
   write memory أو copy running-config startup-config
2. تحقق من إعدادات SSH الأساسية:
   show running-config | include ssh
show ip ssh

يمكنك أيضًا استخدام show users لاحقًا لرؤية الجلسات النشطة. مع وجود SSH الأساسي، يجب عليك الآن اختبار الوصول من أنظمة عملاء مختلفة للتأكد من أن كل شيء يعمل كما هو متوقع.

اختبار الوصول عبر SSH إلى موجه Cisco الخاص بك

يؤكد الاختبار أن تهيئتك تعمل وأن بإمكانك الاعتماد على SSH للإدارة المستمرة. اختبر دائمًا من الشبكات التي سيتصل منها المسؤولون في الواقع.

اختبار SSH من Windows (PuTTY و OpenSSH)

على Windows لديك خياران شائعان: PuTTY وعميل OpenSSH المدمج.

للاختبار باستخدام PuTTY:

1. افتح PuTTY.
2. أدخل عنوان IP الخاص بالموجه في حقل Host Name.
3. تأكد من اختيار ‘SSH’ وأن المنفذ 22.
4. انقر ‘Open’ وسجّل الدخول باستخدام اسم المستخدم وكلمة المرور.

للاختبار باستخدام OpenSSH على Windows:

ssh netadmin@192.0.2.1

شغّل هذا الأمر في PowerShell أو موجه الأوامر. إذا فُتحت الجلسة وتلقيت موجه الموجه (مثلًا R1-Core#)، فهذا يعني أن SSH يعمل.

اختبار SSH من macOS و Linux

على macOS ومعظم توزيعات Linux، يكون عميل SSH مثبتًا مسبقًا بشكل افتراضي.

1. افتح تطبيق Terminal.
2. شغّل:
   ssh netadmin@192.0.2.1
3. اقبل مطالبة مفتاح المضيف في الاتصال الأول.
4. أدخل كلمة مرورك عند الطلب.

إذا رأيت شعار الموجه (banner) وموجه الأوامر، فهذا يعني أن تهيئتك صحيحة وأن إعداد SSH على موجه Cisco يعمل من ذلك النظام.

فهم مطالبات SSH وتحذيرات مفاتيح المضيف

في أول مرة تتصل فيها، يعرض العميل بصمة مفتاح المضيف ويسألك عما إذا كنت تثق به. هذا سلوك طبيعي. تحقق من البصمة إن أمكن عبر الوثائق أو طريقة خارج النطاق، ثم اقبلها وخزنها.

لاحقًا، إذا تغير مفتاح المضيف بشكل غير متوقع، قد يحذرك العميل من احتمال وجود هجوم “رجل في الوسط” (MITM). تحقق من أي تغيير في مفتاح المضيف. قد يكون غير ضار، مثل إنشاء مفاتيح جديدة بعد ترقية، لكنه قد يشير أيضًا إلى تلاعب أو جهاز مزيف.

بمجرد نجاح الاختبارات، يمكنك تحسين الإعداد وتشديده لتقليل سطح الهجوم وتحسين الأمان أكثر.

تشديد إعداد SSH على موجهات Cisco لتحسين الأمان

يعمل SSH الأساسي، لكن لا يجب أن تتوقف عند هذا الحد. يقلل التشديد من سطح الهجوم، ويفرض ضوابط وصول أقوى، ويحسن الرؤية. هذا أمر حاسم عندما تكون الموجهات في مواقع مكشوفة أو شبه موثوقة أو عندما يستخدم العديد من المسؤولين نفس البنية التحتية.

تقييد SSH باستخدام قوائم التحكم بالوصول (ACLs)

لا تسمح بالوصول عبر SSH من كل مكان. قصر الوصول الإداري على الشبكات الفرعية المعروفة للمسؤولين.

مثال:

ip access-list standard SSH-MGMT
permit 203.0.113.0 0.0.0.255
!
line vty 0 4
access-class SSH-MGMT in

الآن يمكن فقط للمضيفين من شبكة 203.0.113.0/24 بدء جلسات SSH. تمنع هذه الخطوة البسيطة المضيفين العشوائيين من الإنترنت أو الشبكات الداخلية غير المعتمدة من فحص موجهاتك.

فرض مصادقة قوية وسياسات كلمات مرور

قوِّ الحسابات المحلية وكلمات السر حتى لا يتمكن المهاجمون من تخمينها بسهولة:

• استخدم كلمات مرور طويلة ومعقدة تمزج بين الحروف والأرقام والرموز.
• فرض استخدام حسابات فريدة لكل مسؤول وتجنب حسابات ‘admin’ المشتركة.
• غيّر كلمات المرور بانتظام وعند تغيير أدوار الموظفين أو مغادرتهم.

يمكنك أيضًا دمج SSH مع AAA لمزيد من التحكم في المصادقة والتفويض والمحاسبة. يُعد هذا التكامل الخطوة المنطقية التالية بعد تطبيق التشديد الأساسي.

تهيئة مهلات الجلسات وحدود تسجيل الدخول

تزيد الجلسات الخاملة من المخاطر إذا ترك المسؤول محطة عمله وهي متصلة. يمكنك التحكم في هذا السلوك من تهيئة خطوط VTY.

عيّن قيمًا مثل:

line vty 0 4
exec-timeout 5 0

يغلق هذا الإعداد الجلسات الخاملة بعد خمس دقائق. أقرنه بحدود على محاولات المصادقة باستخدام ip ssh authentication-retries 3. معًا، تقلل هذه الإعدادات فرصة إساءة استخدام الجلسات المتروكة وتبطئ محاولات التخمين المتكرر.

تمكين التسجيل والمراقبة لجلسات SSH

تحتاج إلى رؤية واضحة حول من يتصل بموجهاتك ومتى. تدعم التسجيل والمراقبة عمليات الأمان ومتطلبات الامتثال.

فكر في الخطوات التالية:

• تمكين التسجيل إلى خادم syslog مركزي.
• تسجيل محاولات تسجيل الدخول الناجحة والفاشلة حيثما كان ذلك مدعومًا.
• مراقبة حالات الفشل المتكررة أو عمليات تسجيل الدخول من عناوين IP غير معروفة.

تساعدك هذه الإجراءات على اكتشاف الهجمات وتلبية متطلبات التدقيق. للحصول على تحكم أكبر في المصادقة والتسجيل، قم بدمج SSH مع AAA.

دمج SSH مع AAA للمصادقة المركزية

يسمح لك AAA (المصادقة، التفويض، والمحاسبة) بإدارة المستخدمين وتتبع النشاط في مكان مركزي. بدلًا من إنشاء حسابات محلية على كل موجه، تقوم بالاتصال بخوادم RADIUS أو TACACS+، مما يحسن التحكم والاتساق.

فوائد استخدام RADIUS أو TACACS+

يوفر AAA المركزي عدة مزايا لإعداد SSH على موجه Cisco:

• تسجيل دخول موحّد لمسؤولي الشبكة.
• تسهيل انضمام الموظفين الجدد ومغادرتهم عبر العديد من الموجهات.
• التحكم في الوصول بناءً على الأدوار والتفويض التفصيلي للأوامر.
• محاسبة مفصلة للأوامر وجلسات تسجيل الدخول لأغراض التدقيق.

غالبًا ما يُفضّل TACACS+ لإدارة الأجهزة لأنه يفصل بين المصادقة والتفويض ويدعم التحكم التفصيلي في الأوامر. يُستخدم RADIUS أيضًا بشكل شائع، خصوصًا عندما يكون لديك خدمة هوية مركزية قائمة.

سير عمل تهيئة AAA الأساسي لـ SSH

يتبع إعداد AAA بسيط لـ SSH على موجه Cisco عادة النمط التالي:

1. تمكين AAA:
   aaa new-model
2. تعريف خوادم AAA (RADIUS أو TACACS+). على سبيل المثال TACACS+:
   tacacs server TAC1
address ipv4 198.51.100.10
key S3cretKey
3. إنشاء قائمة طرق للمصادقة:
   aaa authentication login SSH_AUTH group tacacs+ local
4. تطبيق AAA على خطوط VTY:
   line vty 0 4
login authentication SSH_AUTH

تحاول هذه التهيئة استخدام TACACS+ أولًا ثم ترجع إلى الحسابات المحلية إذا كان الخادم غير متاح. يمكنك توسيعها بإعدادات التفويض والمحاسبة وفقًا لسياساتك.

استراتيجيات التراجع إذا كانت خوادم AAA غير متاحة

يجب التخطيط لانقطاعات AAA حتى لا تُغلق أمام نفسك الوصول إلى الموجهات الحرجة.

تشمل أفضل الممارسات:

• الاحتفاظ بحساب مسؤول محلي واحد على الأقل مُختبَر على كل موجه.
• استخدام قوائم طرق ترجع إلى ‘local’ إذا فشل AAA.
• توثيق إجراءات الوصول في حالات الطوارئ، بما في ذلك الوصول عبر الكونسول.

إذا فشل AAA ولم يكن هناك خيار تراجع، قد تحتاج إلى وصول فعلي أو خارج النطاق إلى الكونسول على الجهاز، وهو ما قد يكون مكلفًا وبطيئًا. مع وجود AAA والتشديد في مكانهما، يصبح لديك إعداد SSH قوي، لكن لا تزال المشكلات ممكنة. ينبغي أن تعرف كيفية استكشاف المشكلات الشائعة وإصلاحها.

مشكلات إعداد SSH الشائعة على موجه Cisco وحلولها

حتى التهيئات الدقيقة يمكن أن تنتج أخطاء. يساعد فهم المشكلات الشائعة في SSH وحلولها على توفير الوقت ومنع الذعر أثناء النشر أو نوافذ الصيانة.

رفض اتصال SSH أو انتهاء المهلة

إذا لم يتمكن العميل من الاتصال ورأيت ‘connection refused’ أو ‘connection timed out’، اتبع هذه الخطوات:

1. تحقق من إمكانية الوصول عن طريق إرسال أمر ping إلى عنوان IP الخاص بالموجه من العميل.
2. تحقق من قوائم التحكم والجدران النارية للتأكد من السماح بالمنفذ TCP 22.
3. تأكد من تمكين SSH بالأمر show ip ssh.
4. راجع تهيئة VTY للتأكد من ضبط transport input ssh.

إذا قمت مؤخرًا بتعطيل Telnet، تأكد من أنك لم تحظر عن طريق الخطأ كل وصول إداري. اختبر دائمًا من أكثر من شبكة إن أمكن.

سوء تهيئة مفاتيح RSA واسم النطاق

إذا لم يبدأ SSH أو أبلغ العملاء عن مشكلات في المفاتيح، انظر إلى هوية الموجه والمفاتيح:

• تحقق من اسم المضيف واسم النطاق:
  show running-config | include hostname|ip domain-name
• أعد إنشاء المفاتيح إذا لزم الأمر:
  crypto key generate rsa modulus 2048
• تأكد من عدم وجود خطأ إملائي في اسم النطاق قد يربك الثقة في المفاتيح.

قد تؤدي المفاتيح غير المتسقة عبر عمليات إعادة البناء إلى تحذيرات مفاتيح المضيف على العملاء. وثّق تغييرات المفاتيح وأعلِم المسؤولين عند إعادة إنشائها.

إخفاقات المصادقة وحالات حظر الحسابات

عندما تفشل عمليات تسجيل الدخول بينما يعمل الاتصال نفسه، ركّز على المصادقة:

• تأكد من وجود اسم المستخدم محليًا أو في قاعدة بيانات AAA.
• تحقق من حساسية حالة الأحرف في أسماء المستخدمين وكلمات السر.
• راجع قوائم طرق AAA للتأكد من أن SSH يستخدم الخوادم المقصودة.
• افحص السجلات بحثًا عن رسائل ‘authentication failed’ أو إشعارات الحظر.

إذا كنت تستخدم AAA، فاختبر باستخدام المصادقة المحلية عن طريق تغيير طريقة login مؤقتًا على خطوط VTY. يعزل هذا ما إذا كانت المشكلة من الموجه أم من خادم AAA.

الاستخدام الآمن لأوامر debug لاستكشاف SSH

يمكن أن تساعد أوامر debug ولكن يجب استخدامها بحذر في البيئات الإنتاجية:

• استخدم debug ip ssh أو أوامر debug خاصة بالمنصة لـ SSH أثناء الاختبارات المُتحكم بها.
• راقب حمل وحدة المعالجة أثناء التصحيح لتجنب التأثير على المستخدمين.
• أوقف التصحيح عند الانتهاء باستخدام undebug all.

اجمع السجلات على خادم syslog أو جلسة طرفية حتى تتمكن من تحليلها لاحقًا دون إعادة المشكلة. بمجرد فهم خطوات استكشاف الأعطال هذه، يمكنك نشر تهيئة SSH قياسية عبر العديد من الموجهات بثقة.

مثال على قالب تهيئة SSH لموجه Cisco

يسرّع القالب القابل لإعادة الاستخدام من عمليات النشر ويحافظ على اتساق إعداد SSH. يمكنك تطبيق تهيئة أساسية ثم ضبطها حسب الموقع أو دور الجهاز مع الحفاظ على نفس مستوى الأمان.

مقتطف تهيئة SSH آمن أساسي

قد يتضمن قالب أساسي وآمن العناصر التالية:

hostname R1-Core
ip domain-name corp.example.com
!
crypto key generate rsa modulus 2048
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3
!
username netadmin privilege 15 secret StrongP@ssw0rd!
!
ip access-list standard SSH-MGMT
permit 203.0.113.0 0.0.0.255
!
line vty 0 4
access-class SSH-MGMT in
transport input ssh
login local
exec-timeout 5 0

يلتقط هذا المقتطف الأجزاء الأساسية من إعداد SSH آمن على موجه Cisco ويمنحك نقطة انطلاق نظيفة للأجهزة الجديدة.

كيفية تكييف القالب لمواقع مختلفة

لتكييف هذا القالب مع عمليات نشر حقيقية:

• حدّث اسم المضيف واسم النطاق ليتطابقا مع سياسات التسمية المحلية.
• غيّر قوائم التحكم الخاصة بالإدارة لتعكس نطاقات الشبكات الفرعية للمسؤولين في كل موقع.
• اضبط المهلات ومحاولات إعادة المصادقة لتتناسب مع سياسة الأمان واحتياجات سهولة الاستخدام.
• أضف أو أزل تهيئة AAA تبعًا لتوفر الخوادم المركزية.

احتفظ بمستودع خاضع لإدارة الإصدارات لهذه القوالب حتى تبقى التغييرات مُتتبَّعة ومُراجَعة. يساعد هذا الأسلوب الفرق أيضًا على التراجع بسرعة إذا تسبب قالب جديد في مشكلات.

قائمة تحقق قبل تمكين SSH في بيئة الإنتاج

قبل الاعتماد على SSH للإدارة في بيئة الإنتاج، تحقق من النقاط التالية:

• تم تعيين اسم المضيف واسم النطاق بشكل صحيح وتم توثيقهما.
• مفاتيح RSA موجودة وتم تمكين SSHv2 والتحقق منه باستخدام show ip ssh.
• تقيّد خطوط VTY الوصول بـ SSH وبعناوين IP المعروفة للمسؤولين.
• تعمل الحسابات المحلية للمسؤولين وتمتلك كلمات سر قوية.
• في حال استخدام AAA، يوجد أسلوب تراجع مختبَر إلى المصادقة المحلية.
• تم اختبار الوصول عبر SSH من كل شبكات الإدارة ذات الصلة.

بمجرد إكمال هذه القائمة، يمكنك الانتقال بعيدًا عن Telnet واستخدام SSH كطريقة الوصول القياسية عبر موجهات Cisco.

الخاتمة

إعداد SSH على موجه Cisco يتجاوز تشغيل أمر واحد. يجب عليك تحديد هوية الموجه، وإنشاء المفاتيح، وإنشاء مستخدمين آمنين، وتأمين خطوط VTY، والاختبار من مواقع الإدارة الفعلية. بعد ذلك، تقوم بتشديد الوصول باستخدام قوائم التحكم، والمهلات، والتسجيل، ثم دمج AAA للتحكم المركزي والتدقيق التفصيلي.

باتباع الخطوات الواردة في هذا الدليل، يمكنك إنشاء إعداد SSH آمن وقابل للتكرار على موجه Cisco يحمي مستوى الإدارة لديك ويتوسع عبر العديد من الأجهزة. اعتبر هذا الإعداد خط الأساس، ثم حسّنه باستخدام القوالب والأتمتة مع الحفاظ على أفضل ممارسات الأمان في الاعتبار. يقلل إعداد SSH المصمم جيدًا من المخاطر، ويحسن الرؤية، ويمنحك الثقة في كل مرة تتصل فيها بموجهاتك.

الأسئلة المتكررة

كيف أقوم بتعطيل Telnet وإجبار استخدام SSH على موجّه Cisco الخاص بي؟

لتعطيل Telnet، انتقل إلى إعدادات خطوط VTY وقيّد الإدخال على SSH فقط:
1. ‘line vty 0 4’
2. ‘transport input ssh’
هذا يلغي الوصول عبر Telnet ويجبر الجلسات على استخدام SSH. تأكد من أن SSH مُعد ومختبَر قبل تطبيق هذا التغيير حتى لا تُغلق الوصول إلى نفسك. يمكنك أيضًا البحث عن أي أسطر ‘transport input telnet’ في الإعدادات واستبدالها.

ما هي أكثر طريقة أمانًا للسماح بالوصول عن بُعد عبر SSH عبر الإنترنت؟

أكثر الطرق أمانًا هي تجنب تعريض منفذ SSH في الموجّه مباشرة للإنترنت العام. بدلًا من ذلك:
– استخدم شبكة VPN للوصول إلى شبكة إدارة مخصصة.
– ضع الموجّهات خلف جدران نارية واسمح بالوصول عبر SSH فقط من عناوين IP معروفة.
– قيد SSH بقوائم التحكم في الوصول (ACLs) لعناوين عامة محددة إذا كان لا مفر من الوصول عبر الإنترنت.
– استخدم كلمات مرور قوية أو مصادقة معتمدة على المفاتيح.
– راقب السجلات عن كثب بحثًا عن المحاولات الفاشلة وأنماط الوصول غير العادية.
هذا النهج متعدد الطبقات يقلل من احتمال أن يتمكن مهاجم من الوصول إلى أجهزتك أو تنفيذ هجمات تخمين كلمات المرور عليها.

كيف يمكنني التحقق من أن إصدار SSH 2 فقط هو المُمكّن على موجّه Cisco الخاص بي؟

أولًا، اضبط ‘ip ssh version 2’ في وضع الإعداد العام لفرض استخدام SSHv2. ثم تحقق باستخدام الأمر ‘show ip ssh’. يجب أن تُظهر المخرجات ‘SSH Enabled – version 2.0’. إذا أظهرت الإصدار 1 أو كلا الإصدارين، أعد تطبيق الأمر، واحفظ الإعدادات، وتحقق مرة أخرى. يمكنك أيضًا الاختبار باستخدام عميل SSH والتأكد من أنه يتفاوض على جلسة SSHv2 من خلال مراجعة تفاصيل اتصال العميل أو سجلاته.