SSH
C’est quoi SSH ?
SSH(Secure Shell) est un protocole de
communication sécurisé qui permet un échange
de clés de chiffrement au début de la connexion ,
et par la suite tous les segments TCP sont
authentifiés et chiffrés.
Historique
Le protocole SSH existe en deux versions majeures
: la version 1.0 et la version 2.0
Lapremière version souffrait néanmoins de
problèmes de sécurité, alors que la deuxième
version est plus sûr au niveau de cryptographie ,
et possède en plus un protocole de transfert de
fichiers complet, le SSH file transfer protocol.
De Telnet à SSH
Telnet est un protocole très simple ,Il sert juste à
échanger des messages simples d'une machine à une
autre.
Le problème de ce protocole… c'est justement qu'il est
trop simple : les données sont transférées en clair sur le
réseau. Il n'y a aucun chiffrement.
La solution pour sécuriser les données est l’utilisation du
protocole SSH qui permet de chiffrer les données qui
transitent sur le réseau
Les différentes méthodes de
chiffrement
Il existe plusieurs méthodes de chiffrement qui peuvent
être classées dans deux catégories : Le Chiffrement
Symétrique , et le Chiffrement Asymétrique
Le principe de Chiffrement Symétrique c’est d’utiliser une
clé pour chiffrer et déchiffrer les données
Alors que le principe de Chiffrement Asymétrique sert à
utiliser une clé publique pour chiffrer et une clé privé
pour déchiffrer
Quel type de chiffrement utilise SSH ?
SSH combine chiffrement asymétrique et chiffrement symétrique
Quel type de chiffrement utilise SSH ?
Quel type de chiffrement utilise SSH ?
Quel type de chiffrement utilise SSH ?
Quel type de chiffrement utilise SSH ?
Configuration du protocole SSH pour le switch
Tout d'abord, il faut vérifier que l'IOS du switch supporte SSH. La mention k9
(crypto) doit figurer dans le nom de l'IOS.
La commande pour vérifier la version de l'IOS est:
2960-RG#show version
Cisco IOS Software, C2960 Software (C2960-LANBASEK9-M), Version
12.2(55)SE, RELEASE SOFTWARE (fc2)
Technical Support: [Link]
Copyright (c) 1986-2010 by Cisco Systems, Inc.
Compiled Sat 07-Aug-10 23:04 by prod_rel_team
Configuration du protocole SSH pour le switch
Configuration du nom d'hôte et du nom de domaine.
Le nom du switch ainsi que le nom de domaine doivent être configurés.
Création de la clé
2960-RG(config)#crypto key generate rsa general-keys modulus 1024
The name for the keys will be: [Link]
% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
2960-RG(config)#
*Mar 1 [Link].625: %SSH-5-ENABLED: SSH 1.99 has been enabled
Configuration du protocole SSH pour le switch
Activation de SSH
2960-RG(config)#ip ssh version 2
Options ajoutées au service ssh
- les évènements associés aux connexions ssh sont enregistrés.
- Un timeout de 60 secondes est ajouté pour les sessions ssh en cas d'inactivité .
- Nous laissons trois essais pour la connexion au switch.
Configuration du protocole SSH pour le switch
L’ajout des options au service SSH
clem(config)#ip ssh logging events
clem(config)#ip ssh time-out 60
clem(config)#ip ssh authentication-retries 3
Configuration du protocole SSH pour le switch
Configuration de l'authentification et ajout d'un compte administrateur
clem(config)#aaa new-model
clem(config)#aaa authentication login default local
clem(config)#username admin secret P@55w0rd
Configuration du protocole SSH pour le switch
Désactivation de telnet pour l'accès au switch
clem(config)#line vty 0 15
clem(config-line)#login local
clem(config-line)#transport input ssh
Configuration du protocole SSH pour le switch
Vérification de la configuration
2960-RG#show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 60 secs; Authentication retries: 3
Configuration du protocole SSH pour le switch
SSH est maintenant activé. nous pouvons accéder au switch avec un client ssh
(par exemple putty pour windows).
Suppression de SSH
La suppression de la clé entraine la désactivation de ssh.
2960-RG(config)#crypto key zeroize rsa
% All RSA keys will be removed.
% All router certs issued using these keys will also be removed.
Do you really want to remove these keys? [yes/no]: yes
2960-RG(config)#
Vérification de la suppression de SSH
On vérifie que SSH est désactivé
2960-RG#sh ip ssh
SSH Disabled - version 2.0
%Please create RSA keys to enable SSH (of atleast 768 bits size) to
enable SSH v2.
Authentication timeout: 60 secs; Authentication retries: 3
Filtrer les connexions ssh avec une liste de contrôle
d'accès
La liste de contrôle d'accès va nous permettre de filtrer l'accès ssh en
utilisant l'adresse IP source.
Dans la commande suivante, la liste de contrôle d’accès a le numéro 10 et le
réseau autorisé à se connecter en ssh est [Link]/24
Switch(config)#access-list 10 permit [Link] [Link]
Filtrer les connexions ssh avec une liste de
contrôle d'accès
Ensuite, on autorise la connexion exclusive de ce réseau sur les terminaux
virtuel avec la commande access-class:
Switch(config)#line vty 0 15
Switch(config-line)#access-class 10 in
Switch(config-line)#
