SSH y usuario de visualizacion

[José Corniel A]

Buenos días estimados, nuevamente por aquí consultándole a ustedes.

Necesito dos cosas,

1- Quitar Telnet de mis equipos de red Routers y switchs e implementar el acceso por SSHv2 

    Detalles: Para acceder a algunos equipos de red, debo ingresar a otros primero via telnet y luego ingreso al equipo que necesito ver ejemplo;

Accedi al equipo router principal via telnet, desde alli para ingresar a otros coloco 

Dig_Val#xxx.xx.xx.x -> IP del equipo que deseo acceder
Trying xxx.xx.xx.x ... Open  -- > sesion iniciada.

Entonces tengo que comenzar con las localidades foraneas es decir, comenzar con los equipos que estan fuera. De ultimo dejaria las de los equipos de la sede principal.

2- Crear un usuario de solo lectura en los equipos de red, como para visualizar solo running config hacer ping sh cdp. sin privilegios de realizar cambios.

Agradecido de antemano para que me orienten!

Saludos cordiales,

[Julio E. Moisa]

Hola Jose

Siempre un gusto saludarte,

Para configurar SSH no necesitas quitar Telnet, esto lo puedes hacer una vez implementado, debes hacer lo siguiente:

1- Ver si la imagen de tu equipo soporta SSH, por lo general las imagenes tienen K9 incluido en el nombre.

2- Para configurar SSH necesitas

- hostname (poner un nombre diferente al defecto)

- ip domain name   agregar un dominio

- crypto key generate rsa modulu 1024 o superior

- ip ssh version 2

- line vty 0 15

   login local  (o si usas aaa, entonces configurar login authentication)

   transport input telnet ssh

Ahora bien si para llegarle directamente a un switch sin hacer cascada, debes configurar ip default-gateway (el gateway de la vlan de administracion)

Una vez configurado SSH

puedes eliminar el transport input telnet, para que solo quede SSH.

Saludos 

[José Corniel A]

Hola, que tal muchas gracias. Una consulta adicional,

Supongamos que en el router quito el telnet, e implemento el ssh,

Desde la sede principal tengo que acceder via telnet al router principal para poder llegarle a ese router externo, entonces funcionaria igual al solicitar la conexion a ese router externo? tal como lo coloque en el ejemplo.

Dig_Val#xxx.xx.xx.x -> IP del equipo que deseo acceder (Router aun con telnet)
Trying xxx.xx.xx.x ... Open -- > sesion iniciada.

[luis_cordova · Accepted solution]

Hola @José Corniel A ,

1- Quitar Telnet de mis equipos de red Routers y switchs e implementar el acceso por SSHv2 

Para SSHv2

El dispositivo debe tener un nombre y un dominio:

Router(config)# hostname <nombre del dispositivo>

Router(config)# ip domain-name <dominio> <-- este puede ser uno a tu elección

Router(config)# enable secret <contraseña para acceder al modo exec> <--será necesario para el punto 2

Cambiamos la versión , generamos la llave rsa y seleccionamos ssh como único medio de conexión remota a las lineas vty

Router(config)# ip ssh version 2

Router(config)# username <usuario administrador> privilege 15 secret <contraseña del usuario>

Router(config)# crypto key generate rsa <-- al poner enter, deberás elegir los bits de la llave (se recomienda 1024)

Router(config)# line vty 0 15

Router(config-line)# transport input ssh

Router(config-line)# login local <-- suponiendo que no tienes un servidor aaa (tacacs o radius)

Router(config-line)# exit

Para acceder al equipo desde el dispositivo principal

Router# ssh -v 2 -l <nombre usuario> <IP del equipo que deseo acceder>

2- Crear un usuario de solo lectura en los equipos de red, como para visualizar solo running config hacer ping sh cdp. sin privilegios de realizar cambios.

Creamos el usuario, limitando su nivel de privilegio e indicamos los comandos accesibles a ese nivel

Router(config)# username <usuario> privilege 2 secret <contraseña del usuario>

Router(config)# privilege exec level 2 ping

Router(config)# privilege exec all level 2 show

Espero que eso te pueda ser de utilidad

Saludos

[José Corniel A]

Hola que tal estimado,

Me imagino que para poder acceder desde mi principal, al router foraneo, el principal ya debe tener tambien el SSHv2 activo. AHorita hice una prueba y resulta que no logro acceder, ya que quite el telnet, pero no guarde, asi que reiniciare. Pero entonces si debe estar el ssh activo en los principales.

[luis_cordova]

Hola @José Corniel A ,

La configuraciones que te mencioné deben estar presentes en el router externo.

En el router principal, a mi entender, no debería ser necesario tener SSHv2 habilitado para que te puedas conectar.

Obviamente, si vas a migrar todas las conexiones a SSH, podrías dejarlo habilitado en el router principal también.

Saludos