単元解説

SSHと安全な機器管理

IPCCNA

SSHを使った安全な機器管理、Telnetとの違い、VTY、管理プレーン、認証、RSA鍵、アクセス制限、タイムアウトを学びます。

この単元で学ぶこと

ネットワーク機器を遠隔管理するときは、設定変更を行う通信経路を安全に保護することが重要です。

この単元では、SSHとTelnetの違い、コンソールポートとVTY、管理プレーン、ローカルユーザー、enable secret、RSA鍵ペア、SSH version 2、アクセス制限とタイムアウトの基本を学びます。

ネットワーク機器の通信には、利用者データを転送するデータプレーン、経路制御などを行うコントロールプレーン、機器を設定・監視する管理プレーンがあります。

管理プレーンが不適切に公開されると、第三者が管理画面やCLIへ接続を試みることがあります。管理用の接続先、認証、アクセス元、ログ、タイムアウトを適切に設定します。

コンソールポートは、機器へ物理的に接続して操作するためのポートです。初期設定や、ネットワーク経由で到達できない障害時の操作に使います。

VTYは、SSHやTelnetのようにネットワーク経由でCLIへ接続するための仮想端末回線です。遠隔管理では、VTYへのアクセス制御と認証設定が重要です。

Telnetは、遠隔ログインに使えるプロトコルですが、通信内容を暗号化しません。ユーザー名やパスワードなどが盗聴されるリスクがあります。

SSHは、サーバー認証、通信の機密性、完全性を提供するため、ネットワーク経由で機器を管理するときに利用します。通常はSSHを有効にし、Telnetを使わない設定にします。

共有パスワードだけで管理するのではなく、管理者ごとにローカルユーザーを作成すると、誰が接続したかを把握しやすくなります。

enable secretは、Cisco IOSで特権EXECモードへ移行する際に使う認証情報です。ユーザー認証と特権モードの認証を分けて考え、強い認証情報を設定します。

SSHサーバーとして機器を動作させるには、RSA鍵ペアを生成して利用します。クライアントは機器の公開鍵を確認し、正しい機器へ接続しているかを判断する手掛かりにします。

SSH version 2を使用し、古い方式を避けます。実際に使える暗号アルゴリズムや認証方式は、機器のソフトウェアと組織のセキュリティ方針を確認します。

管理用のSSH接続は、管理端末や管理ネットワークだけから許可するのが基本です。ACLなどを使って、不要な送信元からVTYへ接続できないようにします。

管理用IPアドレスを利用者ネットワークと分離し、必要な監視サーバーや運用端末だけが到達できる構成にすると、管理プレーンの露出を減らせます。

exec-timeoutを設定すると、操作されていないVTYセッションを一定時間で切断できます。離席した端末に管理セッションが残り続けることを防ぐために役立ちます。

ログインの成功・失敗、設定変更、権限の利用をログに残し、SyslogやAAAと組み合わせると運用の追跡性を高められます。

遠隔管理にはSSHを使い、Telnetは避けます。管理プレーンを意識し、VTYへのアクセス元を制限し、ユーザー認証、enable secret、RSA鍵ペア、SSH version 2、タイムアウト、ログを組み合わせて安全に管理します。