Ssh - cisco - Historique des versions

Ycharbi : Ajout du paramètre usage-keys pour la génération des clés SSH + ajout d'une section pour l'authentification via clé publique + remplacement des balises sources obsolètes + correction de fautes de français

2023-08-05T23:58:04Z

Ajout du paramètre usage-keys pour la génération des clés SSH + ajout d'une section pour l'authentification via clé publique + remplacement des balises sources obsolètes + correction de fautes de français

Voir les modifications

Ycharbi : /* Serveur OpenSSH */ Ajout des commandes pour lister les valeurs actuellement appliquées au serveur SSH.

2020-10-07T22:40:56Z

Serveur OpenSSH : Ajout des commandes pour lister les valeurs actuellement appliquées au serveur SSH.

← Version précédente		Version du 8 octobre 2020 à 00:40
Ligne 83 :		Ligne 83 :

	Vous pouvez en afficher la liste exhaustive avec les commandes suivantes:		Vous pouvez en afficher la liste exhaustive avec les commandes suivantes:

	ssh -Q server		ssh -Q server
	ssh -Q kex		ssh -Q kex
Ligne 95 :		Ligne 96 :
	for i in $(ssh -Q kex); do suite=$suite$(echo "${i}," \| tr -d "\n"); done; echo "${suite%?}"		for i in $(ssh -Q kex); do suite=$suite$(echo "${i}," \| tr -d "\n"); done; echo "${suite%?}"
	</source>		</source>

			Enfin, il est possible de [https://unix.stackexchange.com/questions/333728/ssh-how-to-disable-weak-ciphers lister les valeurs] actuellement appliquées au service ''SSHd'':

			sshd -T \| grep ciphers
			sshd -T \| grep kex

Ycharbi : /* Connexion depuis OpenSSH */ Modifications du texte + séparation de la section sur OpenSSH en client et en serveur + ajout de la configuration côté serveur pour fonctionner avec IOS.

2020-10-07T18:33:16Z

Connexion depuis OpenSSH : Modifications du texte + séparation de la section sur OpenSSH en client et en serveur + ajout de la configuration côté serveur pour fonctionner avec IOS.

← Version précédente		Version du 7 octobre 2020 à 20:33
Ligne 52 :		Ligne 52 :

	=Connexion depuis OpenSSH=		=Connexion depuis OpenSSH=
	~~Avec~~ des ~~version~~ d'[[Openssh\|OpenSSH]] récentes, les suites cryptographiques utilisées par ''IOS'' ne correspondent pas à celles définies dans la configuration par défaut du célèbre client libre (~~du moins sous~~ ''Linux Debian'' >= ''Jessie''). Il est possible de fixer manuellement ce paramètre sur l'équipement réseau et de préciser au client quel algorithme utiliser pour la connexion.		Pour des raisons de sécurité, avec les versions d'[[Openssh\|OpenSSH]] récentes, les suites cryptographiques utilisées par ''IOS'' ne correspondent pas à celles définies dans la configuration par défaut du célèbre client libre (depuis ''GNU/Linux Debian'' >= ''Jessie''). En effet, comme à son habitude, ''Cisco'' est à la traîne dans le support des standards. Les algorithmes tant de chiffrement que de signature supportés sont complètements obsolètes (car dangereux) et sortis des recommandations internationales depuis plus de 10 ans (N'utilisez pas le ''SSH'' des équipements de cette marque depuis Internet) ! Il est possible de fixer manuellement ce paramètre sur l'équipement réseau (si supporté par votre modèle) et de préciser au client quel algorithme utiliser pour la connexion. Enfin, avec les modèles derniers cris, ces problèmes ne devraient pas se manifester (chez ''Cisco'', la "sécurité", ça se paie).

	==Sur IOS==		==Sur IOS==
Ligne 61 :		Ligne 61 :

	==Sur OpenSSH==		==Sur OpenSSH==
	===Dans la commande===		===Client OpenSSH===
			====Dans la commande====
	ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 -c aes128-cbc <utilisateur>@<adresse>		ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 -c aes128-cbc <utilisateur>@<adresse>

	===Dans la configuration===		====Dans la configuration====
	Il est également possible de préciser au client d'utiliser cette configuration directement dans [https://unix.stackexchange.com/questions/340844/how-to-enable-diffie-hellman-group1-sha1-key-exchange-on-debian-8-0 son fichier]. Ainsi, la commande standard pourra être utilisée de façon transparente.		Il est également possible de préciser au client d'utiliser cette configuration directement dans [https://unix.stackexchange.com/questions/340844/how-to-enable-diffie-hellman-group1-sha1-key-exchange-on-debian-8-0 son fichier]. Ainsi, la commande standard pourra être utilisée de façon transparente.
	vim ~/.ssh/config		vim ~/.ssh/config
Ligne 71 :		Ligne 72 :
	Host 10.0.0.1		Host 10.0.0.1
	KexAlgorithms +diffie-hellman-group1-sha1		KexAlgorithms +diffie-hellman-group1-sha1
			</source>

			===Serveur OpenSSH===
			Si c'est le matériel réseau qui doit se connecter au ''Linux'', il faut éditer la configuration du service ''SSHd'' et ajouter les deux algorithmes supportés par ''IOS'' tout en conservant ceux par défaut (afin de continuer à pouvoir se connecter au serveur):

			<source lang="bash">
			echo -e "Ciphers +aes128-cbc\nKexAlgorithms +diffie-hellman-group1-sha1" >> /etc/ssh/sshd_config
			systemctl restart ssh.service
			</source>

			Vous pouvez en afficher la liste exhaustive avec les commandes suivantes:
			ssh -Q server
			ssh -Q kex

			Afin de vous éviter le supplice de faire des copier/coller dans tous les sens en supprimant les retours chariots et en joutant des virgules pour les ajouter dans la configuration, vous pouvez utiliser les scripts suivants dans l'ordre respectif:

			<source lang="bash">
			for i in $(ssh -Q cipher); do suite=$suite$(echo "${i}," \| tr -d "\n"); done; echo "${suite%?}"
			</source>

			<source lang="bash">
			for i in $(ssh -Q kex); do suite=$suite$(echo "${i}," \| tr -d "\n"); done; echo "${suite%?}"
	</source>		</source>

Ycharbi : /* En tant que serveur */ Ajout de la version de la commande de transfert SCP avec la suite cryptographique rincée de Cisco.

2020-10-02T20:05:51Z

En tant que serveur : Ajout de la version de la commande de transfert SCP avec la suite cryptographique rincée de Cisco.

← Version précédente		Version du 2 octobre 2020 à 22:05
Ligne 49 :		Ligne 49 :
	ip scp server enable		ip scp server enable

	{{Astuce\|Depuis un client ''OpenSSH'', il faudra user de la syntaxe suivante: <source lang="bash" inline>scp c3560cx-universalk9-mz.152-7.E2.bin toto@192.168.1.53:c3560cx-universalk9-mz.152-7.E2/c3560cx-universalk9-mz.152-7.E2.bin</source>. Notez bien que le nom final du fichier doit être précisé en destination, sous peine d'avoir un avortement de la connexion avec le message '''''ETAlost connection'''''. Aucun '''''/''''' ne doit être précisé au début du chemin.}}		{{Astuce\|Depuis un client ''OpenSSH'', il faudra user de la syntaxe suivante: <source lang="bash" inline>scp c3560cx-universalk9-mz.152-7.E2.bin toto@192.168.1.53:c3560cx-universalk9-mz.152-7.E2/c3560cx-universalk9-mz.152-7.E2.bin</source> ou bien en précisant les paramètres cryptographiques ainsi que le périphérique de destination: <source lang="bash" inline>scp -oKexAlgorithms=+diffie-hellman-group1-sha1 -c aes128-cbc c3560cx-universalk9-mz.152-7.E2.bin toto@192.168.1.53:flash:/c3560cx-universalk9-mz.152-7.E2/c3560cx-universalk9-mz.152-7.E2.bin</source>. Notez bien que le nom final du fichier doit être précisé en destination, sous peine d'avoir un avortement de la connexion avec le message '''''ETAlost connection'''''. Aucun '''''/''''' ne doit être précisé au début du chemin.}}

	=Connexion depuis OpenSSH=		=Connexion depuis OpenSSH=

Ycharbi : /* En tant que serveur */

2020-10-02T17:52:15Z

En tant que serveur

← Version précédente		Version du 2 octobre 2020 à 19:52
Ligne 48 :		Ligne 48 :
	Afin de réceptionner des transferts initiés par un hôte distant, ''Cisco IOS'' intègre un module serveur [https://fr.wikipedia.org/wiki/Secure_copy Secure Copy] (''SCP''). Pour l'activer, rien de plus simple:		Afin de réceptionner des transferts initiés par un hôte distant, ''Cisco IOS'' intègre un module serveur [https://fr.wikipedia.org/wiki/Secure_copy Secure Copy] (''SCP''). Pour l'activer, rien de plus simple:
	ip scp server enable		ip scp server enable

			{{Astuce\|Depuis un client ''OpenSSH'', il faudra user de la syntaxe suivante: <source lang="bash" inline>scp c3560cx-universalk9-mz.152-7.E2.bin toto@192.168.1.53:c3560cx-universalk9-mz.152-7.E2/c3560cx-universalk9-mz.152-7.E2.bin</source>. Notez bien que le nom final du fichier doit être précisé en destination, sous peine d'avoir un avortement de la connexion avec le message '''''ETAlost connection'''''. Aucun '''''/''''' ne doit être précisé au début du chemin.}}

	=Connexion depuis OpenSSH=		=Connexion depuis OpenSSH=

Ycharbi : Page créée avec « Category:cisco L'administration d'un équipement ''Cisco'' se fait généralement via le protocole [https://fr.wikipedia.org/wiki/Secure_Shell Secure SHell] (''SSH'')... »

2020-07-09T21:20:14Z

Page créée avec « Category:cisco L'administration d'un équipement ''Cisco'' se fait généralement via le protocole [https://fr.wikipedia.org/wiki/Secure_Shell Secure SHell] (''SSH'')... »

Nouvelle page

[[Category:cisco]]

L'administration d'un équipement ''Cisco'' se fait généralement via le protocole [https://fr.wikipedia.org/wiki/Secure_Shell Secure SHell] (''SSH''). Il est nécessaire d'appliquer quelques paramètre pour l'activer.

=Session SSH=
L'activation de ''SSH'' sous ''Cisco IOS'' passe par quelques commandes comprenants nottament, la création d'un utilisateur, d'une clé ainsi que des critaires de sessions.

<source lang="bash">
configure terminal
# Création de l'utilisateur
username <utilisateur> privilege 15 secret <motdepasse>
# Création de la clé
crypto key generate rsa modulus 4096 label <FQDN>
# Activation de la version 2 du protocole SSH (normalement c'est automatique)
ip ssh version 2
# Paramétrage des sessions SSH sur les consoles virtuelles
line vty 0 4
# Activation des connexions en utilisant la base utilisateur locale
login local
# Modification de la durée de la session (définie à 3 minutes)
exec-timeout 0 3
# Activation des connexions entrantes
transport input ssh
# Activation des connexions sortantes
transport output ssh

# Il est également possible de journaliser les évènements en rapport avec SSH lorsque l'on est connecté via ce protocole (sinon cela se fait uniquement via le port série)
configure terminal
ip ssh logging events
</source>

Bien que ce protocole serve principalement à établir une sessions distante à un équipements, elle ne se limite pas à ça et certaines autres fonctions peuvent êtres utilisées avec les matériels réseau de cette marque.

=Transferts de fichiers via SSH=
Les transferts de fichiers au travers d'''SSH'' permettent un échange chiffré de données. ''IOS'' gère [https://fr.wikipedia.org/wiki/Secure_copy Secure Copy] (''SCP''), un protocole se basant sur ''UNIX BSD'' [https://fr.wikipedia.org/wiki/Rcp_(Unix) RCP] et utilisant ''SSH'' pour le chiffrement. Il faut au préalable avoir activé ce dernier pour que ''SCP'' fonctionne.

Une petite précision qui a son importance. L'implémentation d'''SCP'' dans ''IOS'' ne gère pas la récursivité (<source lang="bash" inline>-r</source>) contrairement à son homologue UNIX/Linux. Si vous avez un répertoire à transférer, baaah, bon courage...

==En tant que client==
L'utilitaire ''copy'' permet d'initier des transferts avec un serveur. En voici la syntaxe:
copy <fichier_source> scp://<utilisateur>@<adresse>:<destination>

{{attention|La ''<destination>'' doit être précédée de deux <source lang="bash" inline>/</source> dans le cas d'un chemin partant de la racine distante.
copy flash:/c3560cx-universalk9-mz.152-4.E5/c3560cx-universalk9-mz.152-4.E5.bin scp://toto@192.168.1.10://tmp/
}}

==En tant que serveur==
Afin de réceptionner des transferts initiés par un hôte distant, ''Cisco IOS'' intègre un module serveur [https://fr.wikipedia.org/wiki/Secure_copy Secure Copy] (''SCP''). Pour l'activer, rien de plus simple:
ip scp server enable

=Connexion depuis OpenSSH=
Avec des version d'[[Openssh|OpenSSH]] récentes, les suites cryptographiques utilisées par ''IOS'' ne correspondent pas à celles définies dans la configuration par défaut du célèbre client libre (du moins sous ''Linux Debian'' >= ''Jessie''). Il est possible de fixer manuellement ce paramètre sur l'équipement réseau et de préciser au client quel algorithme utiliser pour la connexion.

==Sur IOS==
Afin de définir la suite cryptographique que l'on souhaite utiliser lors des sessions ''SSH'', on peut utiliser la commande [https://community.cisco.com/t5/switching/ssh-error-message-quot-no-matching-ciphers-found-quot/td-p/3373105 suivante] en mode "configuration":
ip ssh server algorithm encryption aes256-cbc aes192-cbc aes128-cbc

''Note: les algorithmes sont visibles avec le traditionnel <source lang="bash" inline>?</source>.''

==Sur OpenSSH==
===Dans la commande===
ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 -c aes128-cbc <utilisateur>@<adresse>

===Dans la configuration===
Il est également possible de préciser au client d'utiliser cette configuration directement dans [https://unix.stackexchange.com/questions/340844/how-to-enable-diffie-hellman-group1-sha1-key-exchange-on-debian-8-0 son fichier]. Ainsi, la commande standard pourra être utilisée de façon transparente.
vim ~/.ssh/config

<source lang="bash">
Host 10.0.0.1
KexAlgorithms +diffie-hellman-group1-sha1
</source>

Ssh - cisco - Historique des versions

Ycharbi : Ajout du paramètre usage-keys pour la génération des clés SSH + ajout d'une section pour l'authentification via clé publique + remplacement des balises sources obsolètes + correction de fautes de français

Ycharbi : /* Serveur OpenSSH */ Ajout des commandes pour lister les valeurs actuellement appliquées au serveur SSH.

Ycharbi : /* Connexion depuis OpenSSH */ Modifications du texte + séparation de la section sur OpenSSH en client et en serveur + ajout de la configuration côté serveur pour fonctionner avec IOS.

Ycharbi : /* En tant que serveur */ Ajout de la version de la commande de transfert SCP avec la suite cryptographique rincée de Cisco.