October 30, 2026

Cisco Yönlendirici SSH Kurulumu: Adım Adım Güvenli Yapılandırma Kılavuzu

Giriş

Ağ cihazlarına güvenli uzaktan erişim, SSH’i doğru yapılandırmakla başlar. Hâlâ Telnet kullanıyor veya Cisco yönlendiricilerinizde zayıf, varsayılan ayarlara güveniyorsanız, ağ yönetim düzleminizi ciddi riske maruz bırakıyorsunuz demektir. SSH, yönetim trafiğini şifreler, kimlik bilgilerini korur ve yönlendiricilerinizi yapılandırmak ve izlemek için daha güvenli bir yol sağlar.

Bu kılavuz, sıfırdan eksiksiz bir Cisco yönlendirici SSH kurulumunu adım adım ele alır. Yönlendiriciyi hazırlamayı, SSH’i yapılandırmayı, bağlantıyı test etmeyi, erişimi sıkılaştırmayı, AAA entegrasyonunu ve yaygın sorunları çözmeyi öğreneceksiniz. Sürecin net ve mantıklı kalması için her bölüm bir öncekine dayanır.

Sonunda, Cisco yönlendiricileriniz boyunca uygulayabileceğiniz, tekrarlanabilir bir SSH yapılandırmasına sahip olacaksınız. Ardından bunu, her kararda güvenliği merkeze alarak şablonlar ve otomasyonla ortamınıza uyarlayabilirsiniz. Temelleri akılda tutarak, işe SSH’in bir Cisco yönlendirici üzerinde gerçekte ne yaptığını ve neden bu kadar önemli olduğunu anlayarak başlayın.

cisco yönlendirici ssh kurulumu

Cisco Yönlendiricide SSH Nedir ve Neden Önemlidir

Secure Shell (SSH), ağ cihazlarına şifreli uzaktan erişim sağlayan bir protokoldür. Bir Cisco yönlendiricide SSH, oturum açma kimlik bilgilerinizi ve yapılandırma komutlarınızı dinlemeye ve kurcalamaya karşı korur. SSH trafiğini ele geçiren herhangi biri, düz metin kullanıcı adları ve parolalar yerine şifrelenmiş veri görür.

Buna karşılık Telnet her şeyi düz metin olarak gönderir. Saldırganlar, güvenilmeyen bir ağ üzerinde paketleri yakalayıp basit araçlarla kimlik bilgilerinizi okuyabilir. Bu nedenle, modern güvenlik kılavuzlarının tümü Telnet’i devre dışı bırakmanızı ve cihaz yönetimi için SSH’i etkinleştirmenizi önerir.

Cisco yönlendiricilerde SSH üç temel işlevi destekler:

Kimlik Doğrulama: Yönlendirici, kim olduğunuzu yerel kullanıcılar veya AAA kullanarak doğrular.
Şifreleme: Yönlendirici trafiği anahtarlar ve güvenli şifreleme algoritmaları kullanarak şifreler.
Bütünlük: Oturum, veri aktarım halindeyken kurcalanmaya karşı korunur.

SSH sürüm 2 kullanmanız gereken standarttır. SSH sürüm 1’e göre daha iyi güvenlik ve özellikler sunar. Cisco IOS çoğu güncel platformda SSHv2’yi destekler ve yönlendiriciyi yalnızca SSHv2 kullanmaya açıkça zorlayabilirsiniz.

SSH önemlidir çünkü yönetim düzlemi genellikle ağınızın en güçlü kısmıdır. Birisi yönlendiricilerinizin kontrolünü ele geçirirse trafiği yeniden yönlendirebilir, arka kapılar oluşturabilir veya segmentleri çevrimdışı hale getirebilir. Doğru SSH kurulumu bu riski azaltır ve güvenli bir ağ yönetim stratejisinin temelini oluşturur.

SSH’i etkinleştirmeden önce cihazlarınızın ve ortamınızın birkaç önemli ön koşulu karşıladığından emin olmanız gerekir. Bu, yaygın sorunlardan kaçınmanıza yardımcı olur ve yapılandırma sürecini sorunsuz tutar.

Cisco Yönlendirici SSH Kurulumu için Ön Koşullar

Bir Cisco yönlendiricide SSH yapılandırmadan önce, donanımınızın, yazılımınızın, izinlerinizin ve ağ ortamınızın güvenli bir dağıtımı destekleyebildiğinden emin olun. Bu kontrolleri atlamak, genellikle daha sonra can sıkıcı bağlantı hatalarına yol açar.

Donanım ve Yazılım Gereksinimleri

Önce Cisco yönlendiricinizin ve IOS sürümünüzün SSH’i desteklediğini doğrulayın. Çoğu kurumsal yönlendirici ve modern IOS imajı SSH içerir, ancak daha eski veya kırpılmış imajlar içermeyebilir.

Şunları yapmalısınız:

show version komutunu kullanarak IOS özellik setini ve sürümünü kontrol edin.
Yönlendiricinin kriptografik işlemler için yeterli CPU ve belleğe sahip olduğunu doğrulayın.
Cihazın, güncel güvenlik düzeltmelerine sahip, güncel ve desteklenen bir IOS sürümüne sahip olduğunu teyit edin.

SSH belgelerde listelenmiyorsa veya yönlendirici SSH komutlarını tanımıyorsa, yükseltilmiş bir imaja veya daha yeni bir platforma ihtiyacınız olabilir.

Erişim ve İzin Gereksinimleri

SSH yapılandırmak için doğru erişim düzeyine ve onaya sahip olmalısınız:

Yönlendiriciye konsol veya mevcut bir uzaktan erişim.
Genellikle ayrıcalık düzeyi 15 olan ayrıcalıklı (enable) mod erişimi.
Kuruluşunuzda yönetim erişim ayarlarını değiştirme yetkisi.

Özelik düzeyi 15 veya uygun yetkilendirme olmadan anahtar oluşturamaz, VTY hatlarını yapılandıramaz veya AAA ayarlarını değiştiremezsiniz.

Ağ ve Güvenlik Hususları

Cisco yönlendirici SSH kurulumunuzu destekleyecek ağ yolunu ve güvenlik tasarımını da göz önünde bulundurmanız gerekir:

Yönlendiricinin ulaşılabilir en az bir yönetim IP adresi olmalıdır.
Yönlendirme, yönetim iş istasyonunun bu IP adresine ulaşmasına izin vermelidir.
Güvenlik duvarları ve ACL’ler gerekli yerlerde TCP 22 (SSH) portuna izin vermelidir.
Tercihen, cihaz erişimi için ayrılmış bir yönetim VLAN’ı veya VRF kullanırsınız.

Bu ön koşullar sağlandığında, yönlendiricinin kendisini SSH yapılandırmasına hazırlamaya hazırsınız. Bir sonraki adım, yönlendiriciye uygun bir kimlik ve kriptografik anahtarlar kazandırmaktır.

Cisco Yönlendiriciyi SSH Yapılandırmasına Hazırlama

SSH’i etkinleştirmeden önce yönlendiricinin tutarlı bir kimliğe ve kriptografik anahtarlara ihtiyacı vardır. Bu adımlar, diğer ayarların üzerine inşa olacağı güvenli bir SSH hizmeti için temel oluşturur.

Hostname ve Alan Adı Ayarlama

Cisco yönlendiricilerde SSH, anahtar oluşturma ve kimliklendirme için cihazın hostname ve alan adını kullanır. Bunu atlamanız, anahtar oluşturmanın başarısız olmasına veya tutarsız sonuçlar üretmesine neden olur.

Aşağıdakileri yapılandırın:

Anlamlı bir hostname, örneğin:
hostname R1-Core
Bir alan adı, örneğin:
ip domain-name corp.example.com

SSH anahtar uyarılarında ve günlüklerde cihazları kolayca tanıyabilmek için dahili adlandırma standartlarınıza uyan adlar seçin.

RSA Anahtar Çiftleri Oluşturma

Sonraki adım, SSH için RSA anahtarları oluşturmaktır. Bu anahtarlar, yönlendiricinin kriptografik kimliğini oluşturur.

Şunu çalıştırın:

crypto key generate rsa modulus 2048

2048 bitlik modulus, güvenlik ve performans için iyi bir başlangıç noktasıdır. Daha büyük anahtar boyutları güvenliği artırır ancak CPU kullanımını yükseltebilir. Komutu çalıştırdığınızda yönlendirici anahtarları oluşturur ve destekleniyorsa SSH sunucusunu etkinleştirir.

Daha sonra hostname veya alan adını değiştirirseniz, anahtarları yeni kimliğe uyacak şekilde yeniden oluşturun. Bu, SSH istemcileriniz için ana bilgisayar anahtar parmak izlerini tutarlı tutar.

IOS Üzerinde SSH Yeteneğini Doğrulama

Anahtar oluşturmadan sonra, SSH’in etkin ve IOS imajı tarafından desteklendiğini doğrulayın:

SSH sürümünü, anahtar durumunu, zaman aşımını ve kimlik doğrulama denemelerini görmek için show ip ssh komutunu çalıştırın.
Eksik kripto özelliklerini belirten hata mesajlarını kontrol edin.

Komut bir hata veriyorsa veya SSH ile ilgili veri göstermiyorsa, IOS imajını, özellik setini ve anahtar oluşturma adımlarını tekrar kontrol edin. SSH artık platform düzeyinde kullanılabilir olduğuna göre, yöneticilerin nasıl bağlanacağını kontrol edecek çekirdek yapılandırmaya geçebilirsiniz.

Temel Cisco Yönlendirici SSH Yapılandırması

Temel SSH yapılandırması, kullanıcılar oluşturur, güvenli sürümleri zorunlu kılar ve uzaktan oturum açma için VTY hatlarını ayarlar. Yönlendiricinizin Telnet yerine SSH üzerinden güvenli bir şekilde erişilebilir hale geldiği nokta burasıdır.

Güvenli Yerel Kullanıcı Hesapları Oluşturma

En az bir yönetici hesabı ile başlayın. Daha güçlü özetleme için düz password yerine secret anahtar kelimesini kullanın.

Örnek:

username netadmin privilege 15 secret StrongP@ssw0rd!

Yönergeler:

Genel bir ‘admin’ yerine benzersiz kullanıcı adları kullanın.
Tahmin edilmesi zor, uzun ve karmaşık secret’lar kullanın.
Parolaları cihazlar veya sistemler arasında yeniden kullanmaktan kaçının.

Daha sonra AAA kullanmayı planlıyorsanız bile, AAA sunucusu erişilemez hale gelirse geri dönüş için en az bir yerel hesaba sahip olmak istersiniz.

Yalnızca SSH Sürüm 2’yi Etkinleştirme

Yönlendiriciyi, daha iyi güvenlik ve daha sağlam özellikler sunan SSHv2’yi kullanmaya zorlayın.

Şunu kullanın:

ip ssh version 2

SSH davranışını da ayarlayabilirsiniz:

ip ssh time-out 60
ip ssh authentication-retries 3

Bu ayarlar, yönlendiricinin oturum açma için ne kadar süre beklediğini ve oturum sonlanmadan önce bir kullanıcıya kaç deneme hakkı verildiğini kontrol eder. Brute-force saldırılarının etkisini azaltmaya yardımcı olurlar.

SSH Erişimi için VTY Hatlarını Yapılandırma

VTY hatları uzaktan oturumları yönetir. Bunları SSH ile sınırlandırmalı ve güvenli oturum açma yöntemleri uygulamalısınız.

Örnek yapılandırma:

line vty 0 4
transport input ssh
login local
exec-timeout 10 0

Bu kurulum şunları sağlar:

0 ila 4 numaralı VTY hatlarında Telnet devre dışıdır.
Kullanıcılar tanımlı yerel hesaplarla kimlik doğrular.
Boşta kalan oturumlar güvenli bir sürenin ardından sonlandırılır.

Çalışan Yapılandırmayı Kaydetme ve Doğrulama

Temel kurulumu tamamladıktan sonra yapılandırmayı kaydedin ve doğrulayın:

Yapılandırmayı kaydedin:
write memory veya copy running-config startup-config
Temel SSH ayarlarını doğrulayın:
show running-config | include ssh
show ip ssh

Daha sonra, etkin oturumları görmek için show users komutunu da kullanabilirsiniz. Temel SSH yapılandırması hazır olduğunda, her şeyin beklendiği gibi çalıştığından emin olmak için farklı istemci sistemlerinden erişimi test etmelisiniz.

Cisco Yönlendiricinize SSH Erişimini Test Etme

Test, yapılandırmanızın çalıştığını ve sürekli yönetim için SSH’e güvenebileceğinizi doğrular. Her zaman yöneticilerin gerçek hayatta bağlanacağı ağlardan test yapın.

Windows’tan SSH Testi (PuTTY ve OpenSSH)

Windows’ta iki yaygın seçeneğiniz vardır: PuTTY ve yerleşik OpenSSH istemcisi.

PuTTY ile test etmek için:

PuTTY’yi açın.
Host Name alanına yönlendiricinin IP adresini girin.
‘SSH’in seçili ve portun 22 olduğundan emin olun.
‘Open’ı tıklayın ve kullanıcı adınız ve parolanızla oturum açın.

Windows OpenSSH ile test etmek için:

ssh netadmin@192.0.2.1

Bu komutu PowerShell veya Komut İstemi’nde çalıştırın. Oturum açılır ve yönlendirici istemini (örneğin R1-Core#) alırsanız, SSH çalışıyor demektir.

macOS ve Linux’tan SSH Testi

macOS ve çoğu Linux dağıtımında SSH istemcisi varsayılan olarak kurulu gelir.

Terminal uygulamasını açın.
Şunu çalıştırın:
ssh netadmin@192.0.2.1
İlk bağlantıda ana bilgisayar anahtar uyarısını kabul edin.
İstendiğinde parolanızı girin.

Yönlendiricinin banner’ını ve komut istemini görürseniz, yapılandırmanız doğrudur ve Cisco yönlendirici SSH kurulumu bu platformdan da çalışmaktadır.

SSH İstemlerini ve Anahtar Uyarılarını Yorumlama

İlk kez bağlandığınızda, istemci bir ana bilgisayar anahtar parmak izi gösterir ve buna güvenip güvenmediğinizi sorar. Bu normaldir. Mümkünse parmak izini dokümantasyon veya bant dışı bir yöntemle doğrulayın, ardından kabul edip kaydedin.

Daha sonra, ana bilgisayar anahtarı beklenmedik şekilde değişirse, istemci olası bir ortadaki adam saldırısı hakkında sizi uyarabilir. Herhangi bir anahtar değişikliğini araştırın. Bir yükseltmeden sonra yeni anahtarlar gibi zararsız olabilir, ancak kurcalamaya veya sahte bir cihaza da işaret edebilir.

Testler başarılı olduktan sonra, saldırı yüzeyinizi azaltmak ve güvenliği daha da artırmak için yapılandırmayı ince ayar yapıp sıkılaştırabilirsiniz.

Daha İyi Güvenlik için Cisco Yönlendiricilerde SSH’i Sıkılaştırma

Temel SSH çalışır, ancak burada durmamalısınız. Sıkılaştırma, saldırı yüzeyini azaltır, daha güçlü erişim kontrolleri uygular ve görünürlüğü artırır. Bu, yönlendiriciler maruz kalan veya kısmen güvenilen konumlarda bulunduğunda ya da birçok yönetici aynı altyapıyı kullandığında kritiktir.

SSH’i Erişim Kontrol Listeleri (ACL) ile Sınırlandırma

SSH’e her yerden izin vermeyin. Yönetim erişimini bilinen yönetici alt ağlarıyla sınırlandırın.

Örnek:

ip access-list standard SSH-MGMT
permit 203.0.113.0 0.0.0.255
!
line vty 0 4
access-class SSH-MGMT in

Artık yalnızca 203.0.113.0/24 ağındaki istemciler SSH oturumu başlatabilir. Bu basit adım, rastgele internet konaklarının veya onaylanmamış iç alt ağların yönlendiricilerinizi yoklamasını engeller.

Güçlü Kimlik Doğrulama ve Parola Politikaları Uygulama

Yerel hesapları ve secret’ları güçlendirerek saldırganların bunları kolayca tahmin etmesini önleyin:

Harf, sayı ve sembol karışımı içeren uzun, karmaşık parolalar kullanın.
Her yönetici için benzersiz hesaplar kullanın ve paylaşılan ‘admin’ oturumlarını önleyin.
Parolaları düzenli olarak ve personel rol değiştirdiğinde veya ayrıldığında değiştirin.

Daha fazla kontrol için SSH’i AAA ile birleştirebilirsiniz. Bu entegrasyon, temel sıkılaştırma tamamlandıktan sonra mantıklı bir sonraki adımdır.

Oturum Zaman Aşımı ve Oturum Açma Sınırlarını Yapılandırma

Boşta kalan oturumlar, bir yönetici oturum açmış terminali açık bırakırsa riski artırır. Bu davranışı VTY yapılandırmasından kontrol edebilirsiniz.

Aşağıdaki değerleri ayarlayın:

line vty 0 4
exec-timeout 5 0

Bu yapılandırma, boşta kalan oturumları beş dakika sonra kapatır. Bunu, ip ssh authentication-retries 3 kullanarak kimlik doğrulama denemeleri için sınırlarla eşleştirin. Birlikte, bu ayarlar terk edilmiş oturumların kötüye kullanılma süresini ve brute-force denemelerini azaltır.

SSH Oturumları için Günlükleme ve İzleme Etkinleştirme

Yönlendiricilerinize kimin ve ne zaman bağlandığına dair görünürlüğe ihtiyacınız vardır. Günlükleme ve izleme, hem güvenlik operasyonlarını hem de uyumluluğu destekler.

Aşağıdaki adımları değerlendirin:

Merkezi bir syslog sunucusuna günlüklemeyi etkinleştirin.
Desteklendiği yerde başarılı ve başarısız oturum açma girişimlerini günlüğe kaydedin.
Tekrarlanan başarısızlıkları veya bilinmeyen IP adreslerinden gelen oturum açmaları izleyin.

Bu önlemler saldırıları tespit etmenize ve denetim gerekliliklerini karşılamanıza yardımcı olur. Kimlik doğrulama ve günlükleme üzerinde daha fazla kontrol sağlamak için SSH’i AAA ile entegre edin.

Merkezi Kimlik Doğrulama için SSH’i AAA ile Entegre Etme

AAA (Kimlik Doğrulama, Yetkilendirme ve Hesap Verme), kullanıcıları merkezi bir yerde yönetmenize ve etkinlikleri izlemenize olanak tanır. Her yönlendiricide yerel hesaplar oluşturmak yerine, RADIUS veya TACACS+ sunucularına bağlanırsınız; bu da kontrolü ve tutarlılığı artırır.

RADIUS veya TACACS+ Kullanmanın Faydaları

Merkezi AAA, Cisco yönlendirici SSH kurulumu için birkaç avantaj sağlar:

Ağ yöneticileri için tek oturum açma (SSO).
Çok sayıda yönlendirici arasında personelin daha kolay işe alımı ve işten ayrılması.
Rol tabanlı erişim kontrolü ve ayrıntılı komut yetkilendirmesi.
Denetimler için komutlar ve oturum açma oturumlarının ayrıntılı hesap kaydı.

TACACS+, kimlik doğrulama ve yetkilendirmeyi ayırdığı ve ayrıntılı komut kontrolünü desteklediği için cihaz yönetiminde sıklıkla tercih edilir. RADIUS da yaygındır, özellikle merkezi bir kimlik hizmetiniz zaten varsa.

SSH için Temel AAA Yapılandırma İş Akışı

Cisco yönlendiricide SSH için basit bir AAA kurulumu genellikle şu modeli izler:

AAA’i etkinleştirin:
aaa new-model
AAA sunucularını (RADIUS veya TACACS+) tanımlayın. Örneğin, TACACS+:
tacacs server TAC1
address ipv4 198.51.100.10
key S3cretKey
Bir kimlik doğrulama yöntem listesi oluşturun:
aaa authentication login SSH_AUTH group tacacs+ local
AAA’i VTY hatlarına uygulayın:
line vty 0 4
login authentication SSH_AUTH

Bu yapılandırma, önce TACACS+’ı dener ve sunucu kullanılamazsa yerel hesaplara geri döner. Politikanızın gerektirdiği şekilde yetkilendirme ve hesap verme ifadeleriyle bunu genişletebilirsiniz.

AAA Sunucuları Kullanılamadığında Geri Dönüş Stratejileri

Kritik yönlendiricilerden kendinizi kilitlememek için AAA kesintilerini planlamalısınız.

En iyi uygulamalar şunları içerir:

Her yönlendiricide en az bir test edilmiş yerel yönetici hesabı bulundurun.
AAA başarısız olursa ‘local’a geri dönen yöntem listeleri kullanın.
Konsol erişimi de dahil olmak üzere acil erişim prosedürlerini belgeleyin.

AAA başarısız olur ve geri dönüş yoksa, cihazda fiziksel veya bant dışı konsol erişimine ihtiyaç duyabilirsiniz; bu da maliyetli ve yavaş olabilir. AAA ve sıkılaştırma devredeyken güçlü bir SSH kurulumunuz olur, ancak yine de sorunlar ortaya çıkabilir. Yaygın sorunları nasıl gidereceğinizi bilmelisiniz.

Yaygın Cisco Yönlendirici SSH Kurulum Sorunları ve Çözümleri

Dikkatli yapılandırmalar bile hatalar üretebilir. Tipik SSH sorunlarını ve çözümlerini anlamak, zaman kazandırır ve devreye alma veya bakım pencereleri sırasında paniği önler.

SSH Bağlantısı Reddedildi veya Zaman Aşımına Uğradı

İstemciniz bağlanamıyor ve ‘connection refused’ veya ‘connection timed out’ görüyorsanız şu adımları izleyin:

İstemciden yönlendiricinin IP’sine ping atarak erişilebilirliği kontrol edin.
TCP 22 portuna izin verildiğinden emin olmak için ACL’leri ve güvenlik duvarlarını doğrulayın.
show ip ssh ile SSH’in etkin olduğunu doğrulayın.
transport input ssh ayarlı olduğundan emin olmak için VTY yapılandırmasını gözden geçirin.

Kısa süre önce Telnet’i devre dışı bıraktıysanız, yanlışlıkla tüm yönetim erişimini engellemediğinizden emin olun. Mümkünse her zaman birden fazla ağdan test yapın.

RSA Anahtar ve Alan Adı Yanlış Yapılandırmaları

SSH başlamıyorsa veya istemciler anahtar sorunları bildiriyorsa, yönlendiricinin kimliği ve anahtarlarına bakın:

Hostname ve alan adını doğrulayın:
show running-config | include hostname|ip domain-name
Gerekiyorsa anahtarları yeniden oluşturun:
crypto key generate rsa modulus 2048
Anahtar güvenini karıştırabilecek bir yazım hatası olmadığından emin olun.

Yeniden kurulumlar arasında tutarsız anahtarlar, istemcilerde ana bilgisayar anahtar uyarılarını tetikleyebilir. Anahtar değişikliklerini belgeler ve anahtarları yeniden oluşturduğunuzda yöneticileri bilgilendirirsiniz.

Kimlik Doğrulama Hataları ve Hesap Kilitlenmeleri

Bağlantı çalışıyor ancak oturum açma başarısız oluyorsa, kimlik doğrulamaya odaklanın:

Kullanıcı adının yerel veya AAA veritabanında mevcut olduğundan emin olun.
Büyük/küçük harfe duyarlı kullanıcı adları ve parolaları kontrol edin.
SSH’in amaçlanan sunucuları kullandığından emin olmak için AAA yöntem listelerini gözden geçirin.
‘authentication failed’ mesajları veya kilitlenme uyarıları için günlükleri inceleyin.

AAA kullanıyorsanız, VTY login yöntemini geçici olarak değiştirerek yerel kimlik doğrulama ile test edin. Bu, sorunun yönlendiricide mi yoksa AAA sunucusunda mı olduğunu izole eder.

SSH Sorun Giderme için Debug Komutlarını Güvenli Kullanma

Debug komutları yardımcı olabilir ancak üretim ortamlarında dikkatli kullanılmalıdır:

Kontrollü testler sırasında debug ip ssh veya platforma özgü SSH debug komutlarını kullanın.
Kullanıcıları etkilememek için debug sırasında CPU yükünü izleyin.
İşiniz bittiğinde undebug all kullanarak debug’u kapatın.

Günlükleri daha sonra analiz edebilmek için bir syslog’a veya terminal oturumuna toplayın; böylece sorunu tekrarlamak zorunda kalmazsınız. Bu sorun giderme adımlarını anladıktan sonra, standart bir SSH yapılandırmasını birçok yönlendiriciye güvenle dağıtabilirsiniz.

Örnek Cisco Yönlendirici SSH Yapılandırma Şablonu

Yeniden kullanılabilir bir şablon, dağıtımları hızlandırır ve SSH kurulumunuzu tutarlı kılar. Aynı güvenlik duruşunu korurken, bir temel yapılandırmayı uygulayıp siteye veya cihaz rolüne göre ayarlayabilirsiniz.

Temel Güvenli SSH Yapılandırma Parçası

Basit, güvenli bir şablon aşağıdaki öğeleri içerebilir:

hostname R1-Core
ip domain-name corp.example.com
!
crypto key generate rsa modulus 2048
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3
!
username netadmin privilege 15 secret StrongP@ssw0rd!
!
ip access-list standard SSH-MGMT
permit 203.0.113.0 0.0.0.255
!
line vty 0 4
access-class SSH-MGMT in
transport input ssh
login local
exec-timeout 5 0

Bu parça, güvenli bir Cisco yönlendirici SSH kurulumunun temel bölümlerini kapsar ve yeni cihazlar için temiz bir başlangıç noktası sunar.

Şablonu Farklı Siteler için Nasıl Uyarlayabilirsiniz

Bu şablonu gerçek dağıtımlar için uyarlamak üzere:

Hostname ve alan adını yerel adlandırma politikalarına uyacak şekilde güncelleyin.
Her sitenin yönetici alt ağ aralıklarını yansıtacak şekilde yönetim ACL’lerini değiştirin.
Güvenlik politikanıza ve kullanılabilirlik gereksinimlerinize uygun hale getirmek için zaman aşımı ve deneme değerlerini ayarlayın.
Merkezi sunucu kullanılabilirliğine bağlı olarak AAA yapılandırmasını ekleyin veya kaldırın.

Bu şablonların sürüm kontrollü bir deposunu tutun; böylece değişiklikler izlenir ve gözden geçirilir. Bu uygulama, yeni bir şablon sorunlara yol açarsa ekiplerin hızlıca geri dönmesine de yardımcı olur.

Üretimde SSH’i Etkinleştirmeden Önce Kontrol Listesi

Yönetim için SSH’e güvenmeden önce aşağıdaki noktaları doğrulayın:

Hostname ve alan adı doğru ayarlanmış ve belgelenmiştir.
RSA anahtarları mevcut ve SSHv2, show ip ssh ile doğrulanarak etkin durumdadır.
VTY hatları, erişimi SSH ve bilinen yönetici IP aralıklarıyla sınırlandırır.
Yerel yönetici hesapları çalışır ve güçlü secret’lara sahiptir.
Kullanılıyorsa AAA, yerel’e test edilmiş bir geri dönüş yöntemine sahiptir.
SSH erişimi, ilgili tüm yönetici ağlarından test edilmiştir.

Bu kontrol listesini tamamladıktan sonra Telnet’ten uzaklaşıp Cisco yönlendiricilerinizde standart erişim yöntemi olarak SSH’i kullanabilirsiniz.

Sonuç

Bir Cisco yönlendiricide SSH kurmak, tek bir komut çalıştırmaktan çok daha fazlasıdır. Yönlendiricinin kimliğini tanımlamanız, anahtarlar oluşturmanız, güvenli kullanıcılar yaratmanız, VTY hatlarını kilitlemeniz ve gerçek yönetici konumlarından testler yapmanız gerekir. Buradan, ACL’ler, zaman aşımı ayarları ve günlükleme ile erişimi sıkılaştırır, ardından merkezi kontrol ve ayrıntılı denetim için AAA ile entegre edersiniz.

Bu kılavuzdaki adımları izleyerek, yönetim düzleminizi koruyan ve birçok cihaza ölçeklenebilen güvenli, tekrarlanabilir bir Cisco yönlendirici SSH kurulumu oluşturabilirsiniz. Bu yapılandırmayı bir temel olarak görün; ardından, güvenlik en iyi uygulamalarını akılda tutarak şablonlar ve otomasyonla rafine edin. İyi tasarlanmış bir SSH kurulumu riski azaltır, görünürlüğü artırır ve yönlendiricilerinize her bağlandığınızda size güven verir.

Sıkça Sorulan Sorular

Cisco yönlendiricimde Telnet’i nasıl devre dışı bırakıp SSH kullanmaya zorlarım?

Telnet’i devre dışı bırakmak için VTY satır yapılandırmasına girin ve girişi yalnızca SSH ile sınırlandırın:
1. ‘line vty 0 4’
2. ‘transport input ssh’
Bu, Telnet erişimini kaldırır ve oturumların SSH kullanmasını zorunlu kılar. Bu değişikliği uygulamadan önce SSH’in yapılandırıldığından ve test edildiğinden emin olun; aksi halde kendinizi cihazdan dışarı kilitleyebilirsiniz. Ayrıca yapılandırmanızda herhangi bir ‘transport input telnet’ satırı olup olmadığını arayıp bunların yerine geçecek şekilde düzenleyebilirsiniz.

İnternet üzerinden uzaktan SSH erişimi sağlamanın en güvenli yolu nedir?

En güvenli yöntem, yönlendiricinin SSH hizmetini doğrudan genel internete açmaktan kaçınmaktır. Bunun yerine:
– Özel bir yönetim ağına ulaşmak için VPN kullanın.
– Yönlendiricileri güvenlik duvarlarının arkasına yerleştirin ve yalnızca bilinen IP’lerden SSH erişimine izin verin.
– İnternet erişimi kaçınılmazsa, SSH erişimini ACL’lerle belirli genel adreslerle sınırlandırın.
– Güçlü parolalar veya anahtar tabanlı kimlik doğrulama kullanın.
– Başarısız girişimler ve olağandışı erişim kalıpları için günlükleri yakından izleyin.
Bu katmanlı yaklaşım, bir saldırganın cihazlarınıza ulaşma veya kaba kuvvet saldırısı yapma olasılığını azaltır.

Cisco yönlendiricimde yalnızca SSH sürüm 2’nin etkin olduğunu nasıl doğrulayabilirim?

Önce, genel yapılandırma modunda ‘ip ssh version 2’ komutunu vererek SSHv2’yi zorunlu kılın. Ardından ‘show ip ssh’ komutuyla doğrulayın. Çıktıda ‘SSH Enabled – version 2.0’ ifadesi görünmelidir. Sürüm 1 veya her iki sürümü birden gösteriyorsa, komutu tekrar uygulayın, yapılandırmayı kaydedin ve yeniden kontrol edin. Ayrıca bir istemciyle bağlanıp, istemcinin bağlantı ayrıntılarını veya günlüklerini inceleyerek SSHv2 oturumu kurulduğundan emin olabilirsiniz.