बाईपास प्रबंधन-विमान संरक्षण

कुछ दिन पहले, मेरे बॉस ने मुझे एक काम दिया था - हमारे नेटवर्क पर सभी उपकरणों पर जाने के लिए और देखें कि आप पूरे नेटवर्क की सुरक्षा कैसे सुधार सकते हैं। मैं सुरक्षा, रूटिंग और स्विचिंग से बहुत दूर का व्यक्ति हूं - हमारी हर चीज। फिर भी, मैं व्यापार में उतर गया। कार्य सहयोगियों ने सुझाव दिया कि यह प्रबंधन विमान सुरक्षा के तरीकों (नाम, निश्चित रूप से, एमपीपी है ) को देखने लायक है, मैं गलती से "एमओपी सिस्को" और यह अच्छा है कि मुझे तुरंत एहसास नहीं हुआ कि मुझसे गलती हुई है ...

थोड़ा इतिहास

दूर के दिनों में, जब डीईसी अभी भी नेटवर्क में लगा हुआ था, तो उन्होंने सामान्य नाम DECnet के तहत एक प्रोटोकॉल स्टैक लिखा। मैनकाइंड पहले से ही उनमें से अधिकांश के बारे में सफलतापूर्वक भूल गया है। लेकिन सिस्को नहीं। इस स्टैक में मौजूद किसी प्रोटोकॉल को MOP (मेंटेनेंस ऑपरेशन प्रोटोकॉल) कहा जाता है। उनके पास बहुत सारे कार्य थे, लेकिन उनमें से एक आज तक प्रासंगिक है। मैं RC (रिमोट कंसोल) के बारे में बात कर रहा हूँ। इस फ़ंक्शन का उपयोग करके, डिवाइस तक दूरस्थ पहुंच प्राप्त करना संभव था।

आज मेरी यह रुचि क्यों है?

और क्योंकि सिस्को न केवल अभी भी सभी IOS (15 वें तक) में इस प्रोटोकॉल को शामिल करता है, बल्कि इसमें सभी इंटरफेस पर डिफ़ॉल्ट रूप से शामिल है! "तो क्या?" आप कहते हैं। क्रांतिकारी, टेलनेट और एसएसएच कुछ भी नहीं जानते हैं। इस उप-प्रोटोकॉल के बारे में विशेष बात यह है कि यह पूरी तरह से दूसरे (चैनल) स्तर पर चलता है। और इसका मतलब है कि VTY पर हमारी पसंदीदा एक्सेस-लिस्ट इस छेद से नहीं बचाएगी।

इसलिए, GNS और VMware प्लेयर से लैस, मैंने काम करना तय किया।

परीक्षण

मुझे बस एक वर्चुअल मशीन पर लिनक्स को उठाना और GNS में कम आभासी tsisk से कनेक्ट करना था। मैंने Ubuntu सर्वर 12.04 LTS वितरण और IOS छवि c7200-jk9s-mz.124-21a का उपयोग किया। केवल एक चीज जो सर्वर से जुड़ने की आवश्यकता थी, वास्तव में, एलएटी डेमन ही ( एप्ट-गेट इंस्टॉल लैट )।

आरंभ करने के लिए, मैंने रूटर पर VTY को बिना किसी प्रतिबंध के केवल सत्यापित करने के लिए उठाया कि MOPRC सिद्धांत रूप में काम करता है:



बड़ी सफलता!

संक्षेप में, मैं निम्नलिखित कॉन्फ़िगरेशन से जुड़ने में सक्षम था:

1) एक्सेस-लिस्ट के साथ वीटीवाई पर पूरी तरह से सब कुछ (किसी भी इनकार) को रोकना।
2) वीटीवाई के तहत कोई लॉगिन नहीं है ।
3) परिवहन इनपुट के साथ कोई भी वीटीवाई के तहत (और यह है कि यदि संभव प्रोटोकॉल की सूची में एक एमओपी है)।

केवल एक चीज जो इस प्रोटोकॉल को अवरुद्ध करती है वह भौतिक इंटरफ़ेस के तहत सक्षम एमओपी नहीं है।

यहां यह आरक्षण करने के लायक है - इस प्रोटोकॉल के माध्यम से डिवाइस से कनेक्ट करने के लिए, आपको इसके साथ एक ही सेगमेंट में होना चाहिए। इसके अलावा, आप किसी अन्य नेटवर्क डिवाइस से कनेक्ट नहीं कर सकते (या मुझे यह नहीं पता था कि सिस्को पर यह कैसे करना है), आपको लिनक्स होस्ट करने की आवश्यकता है (हालांकि अगर आप इसके बारे में सोचते हैं, तो मुझे नहीं लगता कि आप जुनिपर पर लेट क्यों नहीं डाल सकते हैं)। इसके अलावा, हम केवल उपयोगकर्ता-मोड में विफल होते हैं, और आगे जाने के लिए आपको अभी भी पासवर्ड जानने की आवश्यकता है। फिर भी, - मेरी राय में यह छेद ध्यान देने योग्य है।