配置SD-WAN cEdge路由器以限制SSH访问

下载选项

PDF (754.9 KB)
在各种设备上使用 Adobe Reader 查看
ePub (478.0 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (478.7 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2022 年 9 月 9 日

文档 ID:218167

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍限制与Cisco IOS-XE® SD-WAN路由器的安全外壳(SSH)连接的过程。

先决条件

要求

需要控制vManage和cEdge之间的连接，才能进行正确的测试。

使用的组件

此过程不限于Cisco Edge或vManage设备中的任何软件版本，因此所有版本都可用于执行这些步骤。但是，本文档仅适用于cEdge路由器。要进行配置，需要执行以下操作：

Cisco cEdge路由器（虚拟或物理）
Cisco vManage

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

本演示的目的是显示cEdge上的配置，以限制从cEdge 172.16.1.1进行SSH访问，但允许cEdge 10.10.10.10和vManage。

拓扑

限制SSH访问过程

连接验证

需要验证连接，以验证cEdge路由器可以访问vManage。默认情况下，vManage使用IP 192.168.1.5登录到cEdge设备。

在vManage GUI中，打开SSH到cEdge，并确保连接的IP具有下一个输出：

cEdge#show users                                                                                                          
Line       User       Host(s)              Idle       Location                                                                     
*866 vty 0 admin      idle                00:00:00    192.168.1.5                                                                     
Interface  User        Mode               Idle        Peer Address

确保vManage不使用隧道、系统或公共ip地址登录cEdge。

要确认用于登录cEdge的IP，您可以使用下一个访问列表。

cEdge#show run  | section access
ip access-list extended VTY_FILTER_SHH
5 permit ip any any log                <<<< with this sequence you can verify the IP of the device that tried to access.

访问控制列表验证

在VTY线路上应用的访问列表

cEdge#show sdwan running-config | section vty
line vty 0 4      
 access-class VTY_FILTER_SSH in vrf-also   
 transport input ssh

应用ACL后，您可以从vManage再次打开SSH到cEdge，并查看日志中生成的下一条消息。

此消息可以通过命令show logging看到。

*Jul 13 15:05:47.781: %SEC_LOGIN-5-LOGIN_SUCCESS: Login Success [user: Tadmin] [Source: 192.168.1.5] [localport: 22] at 15:05:47 UTC Tue Jul 13 2022

在上一个日志中，您可以看到本地端口22。这意味着192.168.1.5尝试打开到cEdge的SSH。

现在您已确认源IP为192.168.1.5，您可以使用正确的IP配置ACL，以允许vManage能够打开SSH会话。

访问控制列表配置

如果cEdge具有多个序列，请确保在ACL的顶部添加新序列。

攻击前：

cEdge#show access-list VTY_FILTER_SSH
Extended IP access list VTY_FILTER_SSH
 10 permit tcp 10.10.10.10 0.0.0.15 any eq 22 100 deny   ip any any log

配置示例：

cEdge#config-transaction
cEdgeconfig)# ip access-list
cEdge(config)# ip access-list extended VTY_FILTER_SSH
cEdge(config-ext-nacl)# 5 permit ip host 192.168.1.5 any log
cEdgeconfig-ext-nacl)# commit
Commit complete.

新序列：

cEdge#show access-list VTY_FILTER_SSH
Extended IP access list VTY_FILTER_SSH
5 permit ip host 192.168.1.5 any log   <<<< New sequence to allow vManage to SSH
10 permit tcp 10.10.10.10 0.0.0.15 any eq 22 
100 deny   ip any any log              <<<< This sequence deny all other SSH connections

在VTY线路上应用ACL。

cEdge#show sdwan running-config | section vty
line vty 0 4   
 access-class VTY_FILTER_SSH in vrf-also 
 transport input ssh                
!                                                                                                                                          
line vty 5 80                                                                                     
 access-class VTY_FILTER_SSH in vrf-also
 transport input ssh