Trước đây, tôi đã viết về cách bật truy cập SSH đến switch Cisco bằng cách bật cài đặt trong giao diện GUI. Điều này tuyệt vời nếu bạn muốn truy cập CLI của switch qua kết nối được mã hóa, nhưng nó vẫn chỉ dựa vào tên người dùng và mật khẩu.
Nếu bạn dùng switch này trong mạng nhạy cảm cao cần rất an toàn, bạn có thể cân nhắc bật xác thực khóa công khai cho kết nối SSH. Thực tế, để bảo mật tối đa, bạn có thể bật cả xác thực tên người dùng/mật khẩu và khóa công khai để truy cập switch.
Trong bài viết này, tôi sẽ chỉ cho bạn cách bật xác thực khóa công khai trên switch Cisco SG300 và cách tạo cặp khóa công khai/riêng tư dùng puTTYGen. Tôi sẽ chỉ cho bạn cách đăng nhập dùng khóa mới. Ngoài ra, tôi sẽ chỉ cách cấu hình để bạn có thể dùng chỉ khóa để đăng nhập hoặc bắt người dùng gõ tên người dùng/mật khẩu cùng với dùng khóa riêng tư.
Lưu ý: Trước khi bắt đầu hướng dẫn này, hãy chắc chắn bạn đã bật dịch vụ SSH trên switch, như tôi đã đề cập trong bài viết trước liên kết ở trên.
Bật xác thực người dùng SSH bằng khóa công khai
Tổng thể, quy trình để làm xác thực khóa công khai cho SSH hoạt động là đơn giản. Trong ví dụ của tôi, tôi sẽ chỉ cách bật tính năng dùng GUI dựa trên web. Tôi đã thử dùng giao diện CLI để bật xác thực khóa công khai, nhưng nó không chấp nhận định dạng cho khóa RSA riêng tư của tôi.
Khi tôi làm được nó hoạt động, tôi sẽ cập nhật bài này với các lệnh CLI sẽ hoàn thành những gì chúng ta sẽ làm qua GUI cho bây giờ. Đầu tiên, nhấp vào Bảo mật, sau đó Máy chủ SSH và cuối cùng Xác thực người dùng SSH.
Trong ngăn bên phải, tiến hành chọn hộp Bật bên cạnh Xác thực người dùng SSH bằng Khóa công khai. Nhấp nút Áp dụng để lưu thay đổi. Đừng chọn hộp Bật bên cạnh Đăng nhập tự động ngay bây giờ vì tôi sẽ giải thích thêm dưới.
Bây giờ chúng ta phải thêm tên người dùng SSH. Trước khi vào thêm người dùng, trước tiên phải tạo cặp khóa công khai/riêng tư. Trong ví dụ này, chúng ta sẽ dùng puTTYGen, chương trình đi kèm với puTTY.
Tạo khóa riêng tư và công khai
Để tạo khóa, mở puTTYGen trước. Bạn sẽ thấy màn hình trống và bạn thực sự không nên thay đổi bất kỳ cài đặt nào từ mặc định hiển thị dưới.
Nhấp nút Tạo khóa và sau đó di chuyển chuột quanh khu vực trống cho đến khi thanh tiến trình đi hết đường.
Khi khóa đã được tạo, bạn cần gõ cụm mật khẩu (passphrase), về cơ bản giống như mật khẩu để mở khóa.
Ý tưởng tốt là dùng cụm mật khẩu dài để bảo vệ khóa khỏi tấn công brute-force. Khi bạn đã gõ cụm mật khẩu hai lần, bạn nên nhấp nút Lưu khóa công khai và Lưu khóa riêng tư. Đảm bảo các file này được lưu ở nơi an toàn, tốt nhất trong container được mã hóa yêu cầu mật khẩu để mở. Xem bài viết của tôi về dùng VeraCrypt tạo ổ được mã hóa.
Thêm người dùng & Khóa
Bây giờ quay lại màn hình Xác thực người dùng SSH chúng ta đang ở trước. Đây là nơi bạn có thể chọn từ hai tùy chọn khác nhau. Thứ nhất, đi đến Quản trị – Tài khoản người dùng để xem tài khoản nào bạn hiện có để đăng nhập.
Như bạn thấy, tôi có một tài khoản tên akishore để truy cập switch. Hiện tại, tôi có thể dùng tài khoản này truy cập GUI web và CLI. Quay lại trang Xác thực người dùng SSH, người dùng bạn cần thêm vào Bảng xác thực người dùng SSH (bằng Khóa công khai) có thể giống với cái bạn có dưới Quản trị – Tài khoản người dùng hoặc khác.
Nếu bạn chọn cùng tên người dùng, bạn có thể chọn hộp Bật dưới Đăng nhập tự động và khi bạn đăng nhập switch, bạn chỉ cần gõ tên người dùng và mật khẩu cho khóa riêng tư và bạn sẽ được đăng nhập.
Nếu bạn quyết định chọn tên người dùng khác ở đây, bạn sẽ nhận được nhắc nơi bạn phải nhập tên người dùng SSH khóa riêng tư và mật khẩu và sau đó bạn phải nhập tên người dùng và mật khẩu bình thường (liệt kê dưới Admin – Tài khoản người dùng). Nếu bạn muốn bảo mật thêm, dùng tên khác, nếu không đặt cùng tên với cái hiện tại.
Nhấp nút Thêm và bạn sẽ nhận được cửa sổ bật lên Thêm người dùng SSH.
Đảm bảo Loại khóa đặt là RSA và tiến hành mở file khóa SSH công khai bạn lưu trước dùng chương trình như Notepad. Sao chép toàn bộ nội dung và dán vào cửa sổ Khóa công khai. Nhấp Áp dụng và nhấp Đóng nếu nhận được thông báo Thành công ở trên cùng.
Đăng nhập dùng khóa riêng tư
Bây giờ tất cả chúng ta phải làm là đăng nhập dùng khóa riêng tư và mật khẩu. Lúc này, khi bạn thử đăng nhập, bạn sẽ cần nhập thông tin đăng nhập hai lần: một cho khóa riêng tư và một cho tài khoản người dùng bình thường. Khi chúng ta bật đăng nhập tự động, bạn chỉ cần nhập thông tin cho người dùng SSH và bạn sẽ vào được.
Mở puTTY và nhập địa chỉ IP switch vào hộp Tên máy chủ như bình thường. Tuy nhiên, lần này, chúng ta sẽ cần nạp khóa riêng tư vào puTTY cũng. Để làm vậy, mở rộng Kết nối, sau đó mở rộng SSH và nhấp vào Xác thực.
Nhấp nút Duyệt dưới File khóa riêng tư cho xác thực và chọn file khóa riêng tư bạn lưu từ puTTY trước. Bây giờ nhấp nút Mở để kết nối.
Nhắc đầu tiên sẽ là đăng nhập với tư cách và đó nên là tên người dùng bạn thêm dưới người dùng SSH. Nếu bạn dùng cùng tên người dùng như tài khoản chính, thì không quan trọng.
Trong trường hợp của tôi, tôi dùng akishore cho cả hai tài khoản, nhưng dùng mật khẩu khác cho khóa riêng tư và tài khoản chính. Nếu bạn thích, bạn có thể làm mật khẩu giống nhau, nhưng không có lý do thực sự làm vậy, đặc biệt nếu bạn bật đăng nhập tự động.
Bây giờ nếu bạn không muốn phải đăng nhập kép để vào switch, chọn hộp Bật bên cạnh Đăng nhập tự động trên trang Xác thực người dùng SSH.
Khi điều này được bật, bạn bây giờ chỉ phải gõ thông tin cho người dùng SSH và bạn sẽ được đăng nhập.
Hơi phức tạp, nhưng có nghĩa khi bạn thử nghiệm. Như tôi đã nói trước, tôi cũng sẽ viết ra các lệnh CLI khi có được khóa riêng tư đúng định dạng. Làm theo hướng dẫn ở đây, truy cập switch qua SSH sẽ an toàn hơn nhiều. Nếu gặp vấn đề hoặc có câu hỏi, đăng bình luận. Thưởng thức!