История страницы

1

Задать список методов аутентификации по умолчанию (default)/с именем <NAME> и указать local.

esrscs(config)# aaa authentication login { default | <NAME> } <METHOD 1>
 [ <METHOD 2> ] [ <METHOD 3> ] [ <METHOD 4> ]

<NAME> – — имя списка, задаётся задается строкой до 31 символа.

Способы аутентификации:

• local – — аутентификация с помощью локальной базы пользователей;
• tacacs – — аутентификация по списку TACACS-серверов;
• radius – — аутентификация по списку RADIUS-серверов;ldap – аутентификация по списку LDAP-серверов.

2

Задать список методов аутентификации повышения привилегий пользователей по умолчанию (default)/с именем <NAME> и указать enable.

esrscs(config)# aaa authentication enable <NAME><METHOD 1> [ <METHOD 2> ]
 [ <METHOD 3> ] [ <METHOD 4> ]

<NAME> – — имя списка, задаётся задается строкой до 31 символа.

Способы аутентификации:

• local – — аутентификация с помощью локальной базы пользователей;
• tacacs – — аутентификация по списку TACACS-серверов;
• radius – — аутентификация по списку RADIUS-серверов;ldap – аутентификация по списку LDAP-серверов.

3

Указать способ перебора методов аутентификации в случае отказа (необязательно).

esrscs(config)# aaa authentication mode <MODE>

<MODE> – — способы перебора методов:

• chain – — если сервер вернул FAIL, перейти к следующему в цепочке методу аутентификации;
• break – — если сервер вернул FAIL, прекратить попытки аутентификации. Если сервер недоступен, продолжить попытки аутентификации следующими в цепочке методами.

Значение по умолчанию: chain.

4

Указать количество неудачных попыток аутентификации для блокировки логина пользователя и время блокировки (необязательно).

esrscs(config)# aaa authentication attempts max-fail <COUNT> <TIME>

<COUNT> – — количество неудачных попыток аутентификации, после которых произойдет блокировка пользователя, принимает значения [1..65535];

<TIME> – — интервал времени в минутах, на который будет заблокирован пользователь, принимает значения [1..65535].

Значение по умолчанию:
<COUNT> – — 5; <TIME> – — 300.

Включить запрос на смену пароля по умолчанию для пользователя admin (необязательно).

esrscs(config)# security passwords default-expired

Включить режим запрета на использование ранее установленных паролей локальных пользователей (необязательно).

esrscs(config)# security passwords history <COUNT>

<COUNT> – — количество паролей, сохраняемых в памяти маршрутизаторасервера. Принимает значение в диапазоне [1..15].

Значение по умолчанию: 0.

Установить время действия пароля локального пользователя (необязательно).

esrscs(config)# security passwords lifetime <TIME>

<TIME> – — интервал времени действия пароля в днях. Принимает значение в диапазоне [1..365].

По умолчанию: время действия пароля локального пользователя не ограничено.

Установить ограничение на минимальную длину пароля локального пользователя и ENABLE-пароля (необязательно).

esrscs(config)# security passwords min-length <NUM>

<NUM> – — минимальное количество символов в пароле. Принимает значение в диапазоне [8..128].

Значение по умолчанию: 0.

Установить ограничение на максимальную длину пароля локального пользователя и ENABLE-пароля (необязательно).

esrscs(config)# security passwords max-length <NUM>

<NUM> – — максимальное количество символов в пароле. Принимает значение в диапазоне [8..128].

Значение по умолчанию: не ограничено.

Установить минимальное количество типов символов, которые должны присутствовать в пароле локального пользователя и ENABLE-пароле (необязательно).

esrscs(config)# security passwords symbol-types <COUNT>

<COUNT> – — минимальное количество типов символов в пароле. Принимает значение в диапазоне [1..4].

Значение по умолчанию: 1.

Установить минимальное количество строчных букв в пароле локального пользователя и ENABLE-пароле (необязательно).

esrscs(config)# security passwords lower-case <COUNT>

<COUNT> – — минимальное количество строчных букв в пароле локального пользователя и ENABLE-пароле. Принимает значение в диапазоне [0..128].

Значение по умолчанию: 0.

Установить минимальное количество прописных (заглавных) букв в пароле локального пользователя и ENABLE-пароле (необязательно).

esrscs(config)# security passwords upper-case <COUNT>

<COUNT> – — минимальное количество прописных (заглавных) букв в пароле. Принимает значение в диапазоне [0..128].

Значение по умолчанию: 0.

Установить минимальное количество цифр в пароле локального пользователя и ENABLE-пароле (необязательно).

esrscs(config)# security passwords numeric-count <COUNT>

<COUNT> – — минимальное количество цифр в пароле. Принимает значение в диапазоне [0..128].

Значение по умолчанию: 0.

Установить минимальное количество специальных символов в пароле локального пользователя и ENABLE-пароле (необязательно).

esrscs(config)# security passwords special-case <COUNT>

<COUNT> – — минимальное количество специальных символов в пароле. Принимает значение в диапазоне [0..128].

Значение по умолчанию: 0.

Добавить пользователя в локальную базу и перейти в режим настройки параметров пользователя.

esrscs(config)# username <NAME>

<NAME> – — имя пользователя, задаётся задается строкой до 31 символа.

Установить пароль пользователя.

esrscs(config-user)# password { <CLEAR-TEXT> | encrypted <HASH_SHA512> }

<CLEAR-TEXT> – — пароль, задаётся задается строкой [8 .. 32] символов, принимает значения [0-9a-fA-F];

<HASH_SHA512> – — хеш пароля по алгоритму sha512, задаётся строкой из 110 символов.

Установить уровень привилегий пользователя.

esrscs(config-user)# privilege <PRIV>

<PRIV> – — необходимый уровень привилегий. Принимает значение [1..15].

Установить режим работы учетной записи пользователя (необязательно).

esrscs(config-user)# mode <MODE>

<MODE> – — режим работы учетной записи пользователя. Может принимать значения:

• cli – — режим работы по умолчанию, пользователь получает доступ к интерфейсу командной строки, предназначенному для управления, просмотра состояния и мониторинга устройства;
• techsupport – — пользователь получает доступ к командной оболочке, в которой выполняется процедура отладки устройства совместно с специалистами технической поддержки;
• sftp – — пользователь используется для организации доступа к встроенному SFTP-серверу, возможность работы в какой-либо командой оболочке при этом у пользователя отсутствует.

Указать метод аутентификации SSH-сессий для пользователя (необязательно).

esrscs(config-user)# ssh authentication method <METHOD>

<METHOD> – <METHOD> — метод аутентификации SSH-сессий. Может принимать значения:

• password – — аутентификация пользователя при открытии SSH-сессий может быть произведена только по паролю;
• pubkey – — аутентификация пользователя при открытии SSH-сессий может быть произведена только по публичному ключу;
• both – — аутентификация пользователя при открытии SSH-сессий может быть произведена как по паролю, так и по публичному ключу.

Указать имя файла публичного ключа, который будет использован при аутентификации SSH-сессии пользователя (необязательно).

esrscs(config-user)# ssh pubkey <NAME>

<NAME> – — имя файла публичного ключа, расположенного в разделе crypto:public-key, задаётся строкой до 31 символа.

Отключить авторизацию для предустановленного пользователя admin (необязательно).

esrscs(config)# no admin login enable

Перейти в режим конфигурирования соответствующего терминала.

<TYPE> – — тип консоли:

• console – — локальная консоль;
• telnet – — удаленная консоль;
• ssh – — защищенная удаленная консоль;
• консольный (последовательный) порт.

Активировать список аутентификации входа пользователей в систему.

esrscs(config-line-console)# login authentication <NAME>

<NAME> – — имя списка, задаётся задается строкой до 31 символа. Создан на шаге 1.

Активировать список аутентификации повышения привилегий пользователей.

esrscs(config-line-console)# enable authentication <NAME>

<NAME> – — имя списка, задаётся задается строкой до 31 символа. Создан на шаге 2.

Задать интервал, по истечении которого будет разрываться бездействующая сессия.

esrscs(config-line-console)# exec-timeout <SEC>

<SEC> – — период времени в минутах, принимает значения [1..65535].

esrscs(config)# tacacs-server dscp <DSCP>

<DSCP> – — значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

esrscs(config)# tacacs-server timeout <SEC>

<SEC> – — период времени в секундах, принимает значения [1..30].

Значение по умолчанию: 3 секунды.

esrscs(config)# tacacs -server host
{ <IP-ADDR> | <IPV6-ADDR> } [ vrf <VRF> ] 

<IP-ADDR> – — IP-адрес TACACS-сервера, задаётся задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]

<IPV6-ADDR> – — IPv6-адрес TACACS-сервера, задаётся задается в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF]<VRF> – имя экземпляра VRF, задается строкой до 31 символа.

esrscs(config-tacacs-server)# aaa authentication attempts max-fail <COUNT> <TIME>

<COUNT> – — количество неудачных попыток аутентификации, после которых произойдет блокировка пользователя, принимает значения [1..65535];

<TIME> – — интервал времени в минутах, на который будет заблокирован пользователь, принимает значения [1..65535].

Значение по умолчанию:

<COUNT> – — 5; <TIME> – — 300.

esrscs(config-tacacs-server)# key ascii-text  { <TEXT> | encrypted <ENCRYPTED-TEXT> }

<TEXT> – — строка [8..16] ASCII-символов;

<ENCRYPTED-TEXT> – — зашифрованный пароль, размером [8..16] байт, задаётся строкой [16..32] символов.

esrscs(config-tacacs-server)# port <PORT>

<PORT> – — номер TCP-порта для обмена данными c удаленным сервером, принимает значения [1..65535].

Значение по умолчанию: 49 для TACACS-сервера.

8

Задать приоритет использования удаленного TACACS сервера (необязательно).

esrscs(config-tacacs-server)# priority <PRIORITY>

<PRIORITY> – — приоритет использования удаленного сервера, принимает значения [1..65535].

Чем ниже значение, тем приоритетнее сервер.

Значение по умолчанию: 1.

9

Задать IPv4/IPv6-адрес, который будет использоваться в качестве IP/IPv6-адреса источника в отправляемых TACACS-пакетах.

esrscs(config-tacacs-server)# source-address { <ADDR>  | object-group <NETWORK_OBJ_GROUP_NAME> }

<ADDR> – — IP-адрес источника, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<NETWORK_OBJ_GROUP_NAME> – — список адресов, которые будут использоваться в качестве source address.

<IF> — <IF> – имя интерфейса устройства, задаётся в виде, описанном в разделе разделе Типы и порядок именования интерфейсов маршрутизатора; 

<TUN> – имя туннеля устройства, задаётся в виде, описанном в разделе Типы и порядок именования туннелей маршрутизатора.

консольного сервера.

<NAME> – — имя списка, задаётся задается строкой до 31 символа.

Способы аутентификации:

• local – — аутентификация с помощью локальной базы пользователей;
• tacacs – — аутентификация по списку TACACS-серверов;
• radius – — аутентификация по списку RADIUS-серверов;ldap – аутентификация по списку LDAP-серверов.

12

Задать список методов аутентификации повышения привилегий пользователей по умолчанию (default)/с именем <NAME> и указать tacacs.

esrscs(config)# aaa authentication enable <NAME><METHOD 1>
[ <METHOD 2> ] [ <METHOD 3> ] [ <METHOD 4> ] 

<NAME> – — имя списка строка до 31 символа;

• default – — имя списка по умолчанию.

<METHOD> – — способы аутентификации:

• enable – — аутентификация с помощью enable-паролей;
• tacacs – — аутентификация по протоколу TACACS;
• radius – — аутентификация по протоколу RADIUS;ldap – аутентификация по протоколу LDAP.

13

Задать список методов авторизации команд, вводимых пользователем в систему по умолчанию (default)/с именем <NAME> и указать tacacs.

esrscs(config)# aaa authorization commands { default | <NAME> } <METHOD 1>[ <METHOD 2> ]

<NAME> – — имя списка, задаётся задается строкой до 31 символа.

Способы аутентификации:
local – — авторизация с помощью локальной базы пользователей;
tacacs – — авторизация по списку TACACS-серверов;.

14

Указать способ перебора методов аутентификации в случае отказа (необязательно).

esrscs(config)# aaa authentication mode <MODE>

<MODE> – — способы перебора методов:

• chain – — если сервер вернул FAIL, переход к следующему в цепочке методу аутентификации;
• break – — если сервер вернул FAIL, прекратить попытки аутентификации. Если сервер недоступен, продолжить попытки аутентификации следующими в цепочке методами.

Значение по умолчанию: chain.

15

Сконфигурировать список способов учета команд, введённых введенных в CLI (необязательно).

esrscs(config)# aaa accounting commands stop-only <METHOD>

<METHOD> – — способы учета:

    tacacs –  tacacs — учет введенных команд по протоколу TACACS.

Сконфигурировать tacacs в списке способов учета сессий пользователей (необязательно).

esrscs(config)# aaa accounting login start-stop <METHOD 1>
[ <METHOD 2> ]

<METHOD> – — способы учета:

• tacacs – — учет сессий по протоколу TACACS;
• radius – — учет сессий по протоколу RADIUS.

Перейти в режим конфигурирования соответствующего терминала.

esrscs(config)# line <TYPE>

<TYPE> – — тип консоли:

• console – — локальная консоль;
• telnet – — удаленная консоль;
• ssh – — защищенная удаленная консоль;
• aux — консольный (последовательный) порт.

Активировать список аутентификации входа пользователей в систему.

esrscs(config-line-console)# login authentication <NAME>

<NAME> – — имя списка, задаётся задается строкой до 31 символа. Создан на шаге 11.

Активировать список аутентификации повышения привилегий пользователей.

esrscs(config-line-console)# enable authentication <NAME>

<NAME> – — имя списка, задаётся задается строкой до 31 символа. Создан на шаге 12.

Активировать список авторизации команд вводимых пользователем в систему.

esrscs(config-line-console)# commands authorization <NAME>

<NAME> – — имя списка, задаётся задается строкой до 31 символа. Создан на шаге 13.

esrscs(config)# ip access-list extended <NAME>

esrscs(config-acl-ip)# description <DESCRIPTION>

Создать правило и перейти в режим его конфигурирования.

Правила обрабатываются маршрутизатором в сервером в порядке возрастания их номеров.

esrscs(config-acl-ip)# rule <ORDER>

esrscs(config-acl-ip-rule)# action <ACT>

<ACT> – — назначаемое действие:

• permit – — прохождение трафика разрешается;
• deny – — прохождение трафика запрещается.

esrscs(config-acl-ip-rule)# match protocol <TYPE>

esrscs(config-acl-ip-rule)# match protocol-id <ID>

6

Установить IP-адреса отправителя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match source-address { <ADDR> <MASK> | any }

<ADDR> – — IP-адрес отправителя, задаётся задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<MASK> – — маска IP-адреса, задаётся задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]. Биты маски, установленные в 0, задают биты IP-адреса, исключаемые из сравнения при поиске.

При указании значения «any» правило будет срабатывать для любого IP-адреса отправителя/получателя.

7

Установить IP-адреса получателя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match destination-address { <ADDR> <MASK> | any }

8

Установить MAC-адреса отправителя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match source-mac <ADDR><WILDCARD>

<ADDR> – — МАС-адрес отправителя, задаётся задается в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF];

<WILDCARD> – — маска МАС-адреса, задаётся задается в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF]. Биты маски, установленные в 0, задают биты MAC-адреса, исключаемые из сравнения при поиске.

9

Установить MAC-адреса получателя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match destination-mac <ADDR><WILDCARD>

10

Установить номер TCP/UDP-порта отправителя, для которого должно срабатывать правило (если указан протокол).

esrscs(config-acl-ip-rule)# match source-port <TYPE> {<FROM-PORT> - <TO-PORT> | <PORT>}

<TYPE> – <TYPE> — тип аргумента, устанавливаемый в качестве порта:

• port-range – range — указать диапазон портов;
• any – — установить в качестве порта любой порт.

<FROM-PORT> – PORT> — начальный порт диапазона;

<TO-PORT> – PORT> — конечный порт диапазона;

<PORT> – — указание единичного порта.

11

Установить номер TCP/UDP-порта получателя, для которого должно срабатывать правило (если указан протокол).

esrscs(config-acl-ip-rule)# match destination-port <TYPE> {<FROM-PORT> - <TO-PORT> | <PORT>}

12

Установить значение 802.1p приоритета, для которого должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match сos <COS>

<COS> – — значение 802.1p приоритета, принимает значения [0..7].

13

Установить значение кода DSCP, для которого должно срабатывать правило (необязательно). Невозможно использовать совместно с IP Precedence.

esrscs(config-acl-ip-rule)# match dscp <DSCP>

<DSCP> – — значение кода DSCP, принимает значения [0..63].

14

Установить значение кода IP Precedence, для которого должно срабатывать правило (необязательно). Невозможно использовать совместно с DSCP.

esrscs(config-acl-ip-rule)# match ip-precedence <IPP>

<IPP> – — значение кода IP Precedence, принимает значения [0..7].

15

Установить значение идентификационного номера VLAN, для которого должно срабатывать правило (необязательно).

esrscs(config-acl-ip-rule)# match vlan <VID>

<VID> – — идентификационный номер VLAN, принимает значения [1..4094].

16

Активировать правило.

esrscs(config-acl-ip-rule)# enable

17

Указать список контроля доступа к конфигурируемому интерфейсу для фильтрации входящего трафика.

esrscs(config-if-gi)# service-acl ip input <NAME>

<NAME> – — имя списка контроля доступа, задаётся задается строкой до 31 символа.

esrscs(config)# mac access-list extended <NAME>

esrscs(config-acl-mac)# description <DESCRIPTION>

Создать правило и перейти в режим его конфигурирования.

Правила обрабатываются маршрутизатором в сервером в порядке возрастания их номеров.

esrscs(config-acl-mac)# rule <ORDER>

esrscs(config-acl-mac-rule)# action <ACT>

<ACT> – — назначаемое действие:

• permit – — прохождение трафика разрешается;
• deny – — прохождение трафика запрещается.

esrscs(config-acl-mac-rule)# match protocol <TYPE>

esrscs(config-acl-mac-rule)# match ethertype <ID>

8

Установить MAC-адреса отправителя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-mac-rule)# match source-mac <ADDR><WILDCARD>

<ADDR> – — МАС-адрес отправителя, задаётся задается в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF];

<WILDCARD> – — маска МАС-адреса, задаётся задается в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF]. Биты маски, установленные в 0, задают биты MAC-адреса, исключаемые из сравнения при поиске.

9

Установить MAC-адреса получателя, для которых должно срабатывать правило (необязательно).

esrscs(config-acl-mac-rule)# match destination-mac <ADDR><WILDCARD>

12

Установить значение 802.1p приоритета, для которого должно срабатывать правило (необязательно).

esrscs(config-acl-mac-rule)# match сos <COS>

<COS> – — значение 802.1p приоритета, принимает значения [0..7].

15

Установить значение идентификационного номера VLAN, для которого должно срабатывать правило (необязательно).

esrscs(config-acl-mac-rule)# match vlan <VID>

<VID> – — идентификационный номер VLAN, принимает значения [1..4094].

16

Активировать правило.

esrscs(config-acl-mac-rule)# enable

17

Указать список контроля доступа к конфигурируемому интерфейсу для фильтрации входящего трафика.

esrscs(config-if-gi)# service-acl mac input <NAME>

<NAME> – — имя списка контроля доступа, задаётся задается строкой до 31 символа.