Lunes 26 de Marzo de 2012
Clase de Redes II
En clases anteriores estuvimos viendo:
- Interfaz
- Comandos
- Como trabajar con copias de seguridad.
- Configuración
- Manejo de estructura de archivos
- Como poner alguna IP, etc...
Todo esto estaba en el apartado 2.4.
Ahora en el capitulo 2.5.1 , 2 , y 3 tenemos las prácticas para hacer por vuestra cuenta.
Seguimos pues con el capítulo 2.4 con el tema de seguridad:
Vamos viendo comandos.
enable password cisco, asi tenemos un primer nivel de contraseñas.
service password encryption, para poder hacer un show root
El profesor procede a abrir el programa CAIN, una vez abierto CAIN, despues de hacer el show root
corta una contraseña (del alagoritmo tipo 7) y la pega en CAIN. El algoritmo tipo 7 está comprometido, por eso CISCO, lo quitó y puso
enable secret CISCO, !no utilizar nunco enable password! , siempre !secret!.
Entonces ponemos dos niveles de contraseña: el enable secret (leer capitulo 2.4.1.4).
Todo esto es lo que tiene que ver con el proceso de ponerle algo de seguridad a la entrada.
En el capitulo 2.4.1.5, vemos que en el proceso de inicio de un switch hay que mantener pulsado un botoncito que podemos ver en el esquema. Si se entra en el modo rom mon, por ejemplo, he perdido la contraseña, tengo el dedo pulsado en el boton, y en unos segundos en lugar de aparecer el proceso normal, vemos rom mon 1. Cada modelo tendra una pulsación de tecla, otros dos pulsaciones. El procedimiento para switches,si hemos perdido la contraseña, por ejemplo, modelo 2960, vemos en la pagina web ese modelo y tenemos una herramienta para poder recuperar la contraseña.
Nos dan instrucciones, en inglés, de los pasos que tenemos que seguir. Pulsar el boton de modo y soltarlo cuando este parpadeando un led que pone SYST. En cada modelo de Switch hay que hacer una paso concreto. Pues bien, cuando el led parpadea nos sale un proceso de arranque, mas o menos extraño, y entonces habrá que teclear tres comandos
flash init
load helper
boot
De esta forma se monta el sistema de archivos que hay en la flash. y a continuación aparecerá la palabra:
switch:
Podemos poner
switch: dir flash:
Así podemos ver cualquier incidencia que puede haber ocurrido en la flash.
También podemos ver el fichero de configuración, y ahí, quizás podemos ver la contraseña que habíamos perdido. Si no es así, pues podremos configurar una nueva.
En estos momentos si reiniciamos el switch va a arrancar como si fuera de primera mano.
switch: boot , arranca el sistema normal.
Estamos accediendo al switch desde la BIOS, entonces quizas debemos leer bien el manual y utilizar toda una serie de comandos para poder arrancar correctamente nuestro switch.
Existe otra posibilidad que es cargar el switch por TFTP.
Con #boot system flash: para arrancar desde flash
boot system rom, para arrancar desde la rom
boot system tftp, para ir al servidor de FTP y descargar el archivo correpondiente.
Resumiendo
-quitamos la luz al dispositivo
-pulsamos boton
-se suelta el dedo
-entramos en el modo de boot, la configuración es la tipica de los dispositivos de CISCO.
-empezamos a ver en la pantalla la BIOS
flash init
load helper
boot
El fichero clave para recuperación de contraseñas es
Nos pregunta si queremos entrar en el asistente NO
Volvemos a renombrar el fichero old con el nombre que debe de tener
Ahora cargamos en fichero de la flash a runnig cofig. Hacemos un show run y comprobamos si se ven las contraseñas. Conviene no tener activos los Telnet.
Una vez hemos arrancado como no hay configuración cargada nos pregunta si queremos asistente. Quermos cambiar el runing config, hacemos un copy start run, asi todo se carga, incluidas las contraseñas, pero no nos hacen falta ahora , porque y estamos dentro.
Hay que volver a grabar con copy run start, para la próxima vez que arranquemos.
Esto no es algo que se vaya a pedir en el examen, pero hay que saber que toda esta información existe, por si alguna vez tenemos que utilizarla.
Ahora hablamos de los banner a los mensajes, banners a los procesos de arranque. Hay que poner un mensaje, y siempre tiene que ser amenazador (..!ha entrado en el departamento legal de defensa!, ....por ejemplo).
Esta el banner login y el banner mod. Este es el mensaje del dia, el que cambia día a dia. El banner login es el mensaje de bienvenida.
ASCII ART TEXT, buscamos en google o en bing. Buscamos alguno que permita escribir texto para hacer un ejemplo practico de mensajes
!Atención ..........
Una vez escrito el banner, guardaremos con copy run start.
A continucación hablamos de TELNET y SSH. Hasta ahora habíamos entrado por Telnet, ahora vamos a ver SSH. Con SSH se pueden buscar router que no que nos pueden pedir usuario y contreña. Esto no va a ocurrir con los ruters de las empresas que tienen personal con buena formación, como Google, por ejemplo, pero si es posible que si nos direccionamos a una pagina WEB de otro país remoto como la India, etc, podemos encontrar routers exentos de seguridad.
#trannsport input ssh, con esta instrucción , a partir de ahora no se podrá entrar por Telnet, sino por ssh.
Ahora deberíamos pensar que es posible empezar a hacer cosas por ssh. Pero no es así, necesitamos la contraseña pública, pero tambíén la contraseña privada. (estamos viendo el apartado 2.4.3.3).
El switch tiene guardada la clave privada. La clave pública es la que se puede ver.
Se puede probar en casa este comando ssh
ssh 10.0.0.10
Pasaremos a ataques de seguridad.
FIN DE CLASE
No hay comentarios:
Publicar un comentario