自適應安全裝置 (ASA) 上的 TELNET 和 SSH

---

簡介

在當今網路攻擊日益頻繁和複雜的世界中，網路安全是企業首要關注的問題之一。管理網路安全最常見的方法之一是使用防火牆，思科自適應安全裝置 (ASA) 是企業網路中最常用的防火牆之一。在本文中，我們將重點介紹兩種常用管理 ASA 的協議：Telnet 和 SSH。

TELNET 和 SSH 的定義

Telnet (TErminal NETwork) 是一種用於透過網路遠端訪問裝置的協議。它允許使用者遠端連線到裝置並訪問其命令列介面，就像他們物理連線到裝置一樣。

安全外殼 (SSH) 也是一種用於遠端訪問的協議，但它在客戶端和伺服器之間提供加密連線，使其比 Telnet 更安全。它還提供其他功能，例如基於金鑰的身份驗證和檔案傳輸。

ASA 上的 TELNET

ASA 上 TELNET 的定義

TELNET 代表遠端通訊網路協議，允許透過網路遠端訪問裝置。在自適應安全裝置 (ASA) 上，TELNET 是一種用於遠端訪問命令列介面 (CLI) 的協議。網路管理員通常將其用於配置管理、測試和故障排除。

在 ASA 上使用 TELNET 的優缺點

在 ASA 上使用 TELNET 的一個優點是其簡單性。它易於配置和使用，因為它不需要任何額外的軟體或許可證。

此外，與 SSH 等其他協議相比，它需要的處理能力更少。但是，在 ASA 上使用 TELNET 的一個主要缺點是它缺乏安全功能。

身份驗證過程使用明文密碼，駭客很容易攔截。這使得它容易受到竊聽、窺探和中間人攻擊等攻擊。

在 ASA 上配置 TELNET

要在 ASA 上配置 TELNET，您需要確保已啟用必要的介面以進行管理訪問。然後，您可以從 CLI 或圖形使用者介面 (GUI) 配置 TELNET 設定，例如埠號和超時值。要在 CLI 模式下設定透過 TELNET 的遠端訪問

• 進入全域性配置模式

ASA(config)#configure terminal  

• 啟用您希望允許管理流量透過的特定介面

ASA(config)#interface ethernet 0/0 
ASA(config−if)#nameif outside ASA(config−if)#security−level 1 
ASA(config−if)#ip address 192.168.x.x 255.255.x.x  

• 配置來自該介面的入站流量的許可權

ASA(config)#access−list outside_access_in permit tcp any host 192.168.x.x eq telnet  

• 將訪問列表應用於介面

ASA(config)#access−group outside_access_in in interface outside  

• 最後，在 ASA 上啟用 TELNET 並指定超時值

ASA(config)#telnet timeout 5  

完成這些步驟後，您可以使用配置的 IP 地址和埠號透過 TELNET 遠端訪問 ASA 裝置。

雖然 TELNET 是一種易於使用的用於 ASA 遠端管理的協議，但它缺乏可能使其容易受到攻擊的安全功能。因此，管理員應考慮更安全的替代方案，例如我們將在後續部分討論的 SSH。

ASA 上的 SSH

ASA 上 SSH 的定義

安全外殼 (SSH) 是一種加密協議，它在聯網裝置之間提供安全通訊。該協議包含兩個主要元件：SSH 客戶端和 SSH 伺服器。在思科自適應安全裝置 (ASA) 的上下文中，SSH 伺服器允許使用安全的身份驗證和加密遠端訪問裝置的命令列介面 (CLI)，以防止未經授權的訪問。

在 ASA 上使用 SSH 的優缺點

在 ASA 上使用 SSH 的一個主要優點是它能夠為資料傳輸提供強大的加密，這在管理敏感資訊或對裝置進行配置更改時尤其重要。此外，SSH 比 Telnet 提供更好的安全性，因為 Telnet 以明文傳送命令，這使得攻擊者更容易攔截和竊取敏感資訊。

SSH 易於使用和配置，並提供許多可用選項。但是，在 ASA 上使用 SSH 也有一些缺點。

因為它使用加密協議，所以在某些情況下與 Telnet 相比，它可能會降低效能。此外，與 Telnet 等其他協議相比，設定 SSL 連線需要更多配置工作。

在 ASA 上配置 SSH

要在思科自適應安全裝置 (ASA) 中配置安全外殼 (SSH) 訪問，您需要一個已啟用的使用者名稱密碼組合，該組合配置為具有 15 級或更高的許可權。首先透過控制檯或虛擬控制檯連線登入到您的思科自適應安全裝置 (ASA)。然後透過鍵入以下命令啟用 ssh 版本 2

asa(config)#ssh version 2

現在透過鍵入以下命令設定 ssh 超時限制

asa(config)#ssh timeout 60 

您必須透過鍵入以下命令指定至少一個允許連線的地址

asa(config)#ssh [email protected] 

儲存設定並透過鍵入以下命令啟用 SSH 服務

asa(config)#write memory asa(config)#crypto key gen rsa mod 2048 

asa(config)#aaa authentication ssh console LOCALOnce 

完成這些步驟後，就可以透過安全外殼 (SSH) 連線到您的思科自適應安全裝置 (ASA) 了。

ASA 上 TELNET 和 SSH 的比較

安全功能

在安全性方面，SSH 比 TELNET 安全得多。TELNET 以明文傳送資料包，這意味著任何攔截流量的人都可讀取資料包的內容，包括使用者名稱和密碼。

這使得攻擊者很容易竊取敏感資訊。另一方面，SSH 使用加密來保護裝置之間傳送的所有資料。

這不僅包括使用者名稱和密碼，還包括所有其他資料。因此，在安全性至關重要的環境中，首選 SSH。

效能

TELNET 通常比 SSH 快，因為它開銷更小。相反，SSH 由於其加密過程而增加了開銷。但是，除非您正在管理具有許多裝置的大型網路或定期傳輸大量資料，否則這種效能差異可能並不明顯。

易用性

TELNET 通常比 SSH 更易於使用，因為它需要的配置步驟更少，並且不需要安裝大多數作業系統標配以外的額外軟體。使用 TELNET，您只需為 TELNET 訪問配置您的裝置即可立即開始使用。

相比之下，由於 SSH 具有額外的安全功能（例如金鑰生成和身份驗證方法），因此其前期配置和使用需要更多工作。

總而言之，在決定在 ASA 裝置上使用哪種協議進行管理時，應考慮各種因素，包括但不限於每種協議提供的安全功能；效能考慮；易用性差異可能會影響工作效率或負責裝置管理任務的團隊成員的普遍熟悉程度——這些因素應指導決策過程，以便組織可以根據其特定需求選擇合適的協議，以確保網路通訊流量安全，同時最佳化從小型網路到需要高階資料保護管理的企業級基礎設施的不同級別的效能。

結論

在本文中，我們探討了 TELNET 和 SSH 協議在思科自適應安全裝置 (ASA) 上的重要性。我們定義了 TELNET 和 SSH，強調了它們的優缺點，並提供了在 ASA 上配置這兩種協議的深入指南。

我們還根據安全功能、效能和易用性對 TELNET 和 SSH 進行了比較。我們討論了在 ASA 上使用 TELNET 和 SSH 的最佳實踐。