Главная // Блоги // Блог muff

Force10 - управление только с разрешенных IP

  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: SELECT data, created, headers, expire, serialized FROM cache_filter WHERE cid = '2:aeb16189a475a93cc85c594e7172211a' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 27.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: UPDATE cache_filter SET data = '<p class=\"rtecenter\"><img alt=\"Force10 logo\" src=\"http://muff.kiev.ua/files/force10.png\" style=\"height:24px; width:140px\" /></p>\n<p class=\"rtejustify\">По просьбе знакомого, решил разобраться, почему коммутатор <strong>Force10 S4810</strong> только через нескольких попыток &quot;разрешает&quot; подключиться по <strong>telnet</strong> или <strong>ssh</strong> для управления. После подключения никаких &quot;залипаний&quot; и задержек в работе комутатора не замечалось...</p>\n<p class=\"rtejustify\">Просматривая логи, обнаруживаем много вхождений ошибочной авторизации с разных IP-адресов. Тоесть, проблема в следующем...&nbsp;<strong>Force10 S4810</strong>&nbsp;- это&nbsp;<strong>L3 (Layer3)</strong>&nbsp;коммутатор, который поддерживает маршрутизацию и IP-интерфейсы соответственно. В даном случае на коммутаторе присутствуют маршрутизируемые IP-адреса, доступные из сети <strong>Internet</strong>.&nbsp;Соответственно, имеем банальный&nbsp;brute force из бот-нетов, которые &quot;долбят&quot; комутатор своими подключениями, занимая все свободные <strong>VTY</strong> (<strong>VirtualTeletYpe</strong> - виртуальный интерфейс, который обеспечивает удаленный доступ к устройству). В этой модели коммутатора их десять.</p>\n<p class=\"rtejustify\">Решением вопроса будет ограничение доступа к <strong>VTY</strong>&nbsp;коммутатора только с разрешенных IP-адресов. Сделать это не так и сложно.</p>\n<p class=\"rtejustify\">Подключаемся к коммутатору через <strong>telnet</strong> или <strong>ssh</strong>.</p>\n<p class=\"rtejustify\">Переходим в режим конфигурирования:</p>\n<table border=\"1\" cellpadding=\"1\" cellspacing=\"1\" style=\"width:100%\">\n<tbody>\n<tr>\n<td>S4810# <strong>configure terminal</strong></td>\n</tr>\n</tbody>\n</table>\n<p class=\"rtejustify\">Создаем&nbsp;<strong>access-list</strong> с разрешенными IP-адресами/сетями. Не забываем, что в <strong>ACL</strong> политика по умолчанию - запретить все, тоесть в конце&nbsp;любого <strong>ACL</strong> есть невидимое правило &quot;<strong>deny ip any any</strong>&quot;. Соответвенно, достаточно добавить в <strong>access-list</strong>&nbsp;IP-адреса, с которых мы будем подключаться, а все остальные&nbsp;будут блокироваться:</p>\n<table border=\"1\" cellpadding=\"1\" cellspacing=\"1\" style=\"width:100%\">\n<tbody>\n<tr>\n<td>S4810(conf)# <strong>ip access-list standard VTY_ACCESS</strong><br />\n S4810(config-std-nacl)# <strong>remark 0 Deny access to switch</strong><br />\n S4810(config-std-nacl)# <strong>seq 10 permit <span style=\"color:#FF0000\">10.227.206.0/24</span></strong><br />\n S4810(config-std-nacl)# <strong>seq 15 permit <span style=\"color:#FF0000\">10.209.139.0/24</span></strong><br />\n S4810(config-std-nacl)# <strong>seq 20 permit <span style=\"color:#FF0000\">10.229.67.0/23</span></strong><br />\n S4810(config-std-nacl)# <strong>seq 25 permit <span style=\"color:#FF0000\">10.168.207.0/23</span></strong><br />\n S4810(config-std-nacl)# <strong>seq 30 permit <span style=\"color:#FF0000\">10.105.41.0/24</span></strong><br />\n S4810(config-std-nacl)# <strong>exit</strong></td>\n</tr>\n</tbody>\n</table>\n<p>После создания&nbsp;<strong>access-list</strong>&nbsp;необходимо &quot;наложить&quot; его на&nbsp;<strong>VTY</strong>:&nbsp;</p>\n<table border=\"1\" cellpadding=\"1\" cellspacing=\"1\" style=\"width:100%\">\n<tbody>\n<tr>\n<td>S4810(conf)# <strong>line vty 0 9</strong><br />\n S4810(config-line-vty)# <strong>access-class VTY_ACCESS</strong><br />\n S4810(config-line-vty)# <strong>exit</strong></td>\n</tr>\n</tbody>\n</table>\n<p>Выходим из режима конфигурации и сохраняем изменения:</p>\n<table border=\"1\" cellpadding=\"1\" cellspacing=\"1\" style=\"width:100%\">\n<tbody>\n<tr>\n<td>S4810(conf)# <strong>exit</strong><br />\n S4810# <strong>write memory</strong></td>\n</tr>\n</tbody>\n</table>\n<p>&nbsp;</p>\n<p>&nbsp;</p>\n', created = 1767593925, expire = 1767680325, headers = '', serialized = 0 WHERE cid = '2:aeb16189a475a93cc85c594e7172211a' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 112.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: SELECT data, created, headers, expire, serialized FROM cache_filter WHERE cid = '2:07243fc0252056071eaa62af8c18d662' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 27.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: UPDATE cache_filter SET data = '<p class=\"rtecenter\"><a class=\"thickbox\" href=\"/files/imagepicker/1/wake_up_ua.png\"><img alt=\"Вставай, Україно!\" class=\"imgp_img\" src=\"/files/imagepicker/1/thumbs/wake_up_ua.png\" style=\"height:200px; width:150px\" /></a></p>\n', created = 1767593925, expire = 1767680325, headers = '', serialized = 0 WHERE cid = '2:07243fc0252056071eaa62af8c18d662' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 112.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: SELECT data, created, headers, expire, serialized FROM cache_filter WHERE cid = '3:cc913d232116f0426090404133377d88' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 27.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: SELECT data, created, headers, expire, serialized FROM cache_filter WHERE cid = '2:d9a86123bfcbc57878743027b584400b' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 27.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: UPDATE cache_filter SET data = '<p class=\"rtecenter\"><a href=\"http://muff.kiev.ua/rss.xml\"><img alt=\"RSS\" width=\"160\" height=\"60\" src=\"http://muff.kiev.ua/files/muf-rss.png\" /></a></p>\n', created = 1767593925, expire = 1767680325, headers = '', serialized = 0 WHERE cid = '2:d9a86123bfcbc57878743027b584400b' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 112.
  • user warning: Table './muffsql1/cache_filter' is marked as crashed and should be repaired query: SELECT data, created, headers, expire, serialized FROM cache_filter WHERE cid = '3:39649256b636e3d5ded656bc52bd8c01' in /usr/local/www/muff.kiev.ua/includes/cache.inc on line 27.
Опубликовано muff в Пнд, 2017-09-25 23:52
Версия для печатиОтправить другуPDF version

Force10 logo

По просьбе знакомого, решил разобраться, почему коммутатор Force10 S4810 только через нескольких попыток "разрешает" подключиться по telnet или ssh для управления. После подключения никаких "залипаний" и задержек в работе комутатора не замечалось...

Просматривая логи, обнаруживаем много вхождений ошибочной авторизации с разных IP-адресов. Тоесть, проблема в следующем... Force10 S4810 - это L3 (Layer3) коммутатор, который поддерживает маршрутизацию и IP-интерфейсы соответственно. В даном случае на коммутаторе присутствуют маршрутизируемые IP-адреса, доступные из сети Internet. Соответственно, имеем банальный brute force из бот-нетов, которые "долбят" комутатор своими подключениями, занимая все свободные VTY (VirtualTeletYpe - виртуальный интерфейс, который обеспечивает удаленный доступ к устройству). В этой модели коммутатора их десять.

Решением вопроса будет ограничение доступа к VTY коммутатора только с разрешенных IP-адресов. Сделать это не так и сложно.

Подключаемся к коммутатору через telnet или ssh.

Переходим в режим конфигурирования:

S4810# configure terminal

Создаем access-list с разрешенными IP-адресами/сетями. Не забываем, что в ACL политика по умолчанию - запретить все, тоесть в конце любого ACL есть невидимое правило "deny ip any any". Соответвенно, достаточно добавить в access-list IP-адреса, с которых мы будем подключаться, а все остальные будут блокироваться:

S4810(conf)# ip access-list standard VTY_ACCESS
S4810(config-std-nacl)# remark 0 Deny access to switch
S4810(config-std-nacl)# seq 10 permit 10.227.206.0/24
S4810(config-std-nacl)# seq 15 permit 10.209.139.0/24
S4810(config-std-nacl)# seq 20 permit 10.229.67.0/23
S4810(config-std-nacl)# seq 25 permit 10.168.207.0/23
S4810(config-std-nacl)# seq 30 permit 10.105.41.0/24
S4810(config-std-nacl)# exit

После создания access-list необходимо "наложить" его на VTY: 

S4810(conf)# line vty 0 9
S4810(config-line-vty)# access-class VTY_ACCESS
S4810(config-line-vty)# exit

Выходим из режима конфигурации и сохраняем изменения:

S4810(conf)# exit
S4810# write memory

 

 

Ваша оценка: Нет Средняя: 2 (1 голос)

Вставай, Україно!

Статьи

Всякое разное

Литература

Админ не грустный, он завис.