🔐 Telnet’i Unutun — SSH + AAA ile Cihaz Yönetimini Güvence Altına Alın

İlgili yazılar

Cisco QoS Troubleshooting: Policy Var Ama Trafik Neden Önceliklenmiyor?

1 gün önce

Cisco VLAN Trunk Troubleshooting: VLAN Var Ama Trafik Neden Geçmiyor?

1 hafta önce

Cisco 802.1X + ISE: Access Layer’da Kimlik Tabanlı Erişim Kontrolü

2 hafta önce

Ağ cihazlarının yönetim arayüzleri zayıf korunuyorsa risk yalnızca cihaz konfigürasyonu değildir. Router, switch veya firewall yönetimi ele geçirilirse routing, VLAN, ACL, NAT, VPN, logging ve hatta tüm servis sürekliliği tehlikeye girer.

Bu yüzden ilk yapılması gerekenlerden biri nettir:

Telnet’i kapatın, SSHv2 kullanın, AAA ile merkezi kimlik doğrulama ve komut takibi sağlayın.

Aşağıdaki playbook, Cisco IOS / IOS-XE ortamlarında güvenli, loglanabilir ve yönetilebilir cihaz erişimi için pratik bir başlangıç şablonudur.

---

🎯 Hedef

Bu yapı ile amaç:

• Telnet erişimini tamamen kapatmak
• SSHv2 ile güvenli yönetim erişimi sağlamak
• TACACS+ / AAA ile merkezi authentication, authorization ve accounting yapmak
• Yönetim erişimini sadece admin/jumpbox ağlarından kabul etmek
• Kim, ne zaman, hangi komutu çalıştırdı bilgisini kayıt altına almak
• Konfigürasyon değişikliklerini arşivlemek ve syslog’a göndermek

---

1️⃣ Temel Kimlik ve Yönetim Güvenliği

İlk adım cihaz kimliğini, domain bilgisini ve local fallback hesabını tanımlamaktır.

hostname R1
no ip domain-lookup
ip domain-name corp.example.com

username admin privilege 15 secret S3cur3P@ss!
enable secret S3cur3Enable!
service password-encryption

Notlar

• username ... secret kullanılmalı, password tercih edilmemelidir.
• secret 0 veya açık metin parola üretimde kullanılmamalıdır.
• Local admin sadece fallback veya acil durum hesabı olarak tutulmalıdır.
• Local hesabın kullanımı syslog/TACACS tarafında izlenmelidir.
• Mümkünse local fallback hesabı güçlü parola + sınırlı erişim modeliyle korunmalıdır.

---

2️⃣ SSH Kurulumu ve Telnet’i Kapatma

Telnet açık bırakıldığında kullanıcı adı ve parola şifrelenmeden taşınabilir. Bu nedenle VTY hatlarında yalnızca SSH izin verilmelidir.

crypto key generate rsa modulus 2048
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3

VTY hatları:

line vty 0 4
 login authentication MANAGEMENT_AUTH
 transport input ssh
 exec-timeout 10 0
 logging synchronous

Açıklama

• transport input ssh → Telnet’i devre dışı bırakır.
• exec-timeout 10 0 → 10 dakika boş kalan oturumu kapatır.
• ip ssh authentication-retries 3 → brute-force denemelerini sınırlar.
• ip ssh time-out 60 → kimlik doğrulama süresini kısıtlar.

---

3️⃣ AAA: TACACS+ Öncelikli, Local Fallback Kontrollü

AAA ile cihaz erişimini merkezi hale getirebilirsiniz. TACACS+ kullanıldığında kullanıcı doğrulama, yetkilendirme ve komut accounting çok daha net izlenebilir.

aaa new-model

aaa group server tacacs+ TACACS-GROUP
 server name TACACS-1
 server name TACACS-2
!
tacacs server TACACS-1
 address ipv4 10.10.10.10
 key 0 TACACS_SHARED_SECRET
!
tacacs server TACACS-2
 address ipv4 10.10.10.11
 key 0 TACACS_SHARED_SECRET

Authentication / Authorization / Accounting:

aaa authentication login MANAGEMENT_AUTH group TACACS-GROUP local
aaa authorization exec default group TACACS-GROUP local
aaa accounting exec default start-stop group TACACS-GROUP
aaa accounting commands 15 default start-stop group TACACS-GROUP

Açıklama

• Önce TACACS+ denenir.
• TACACS+ ulaşılamazsa local fallback devreye girer.
• Kullanıcı oturumları accounting’e düşer.
• Privilege 15 komutları kayıt altına alınır.

Operasyonel Not

TACACS+ tarafında mümkünse şu kontroller uygulanmalıdır:

• Kullanıcı bazlı rol yönetimi
• Komut bazlı authorization
• MFA entegrasyonu
• Komut accounting
• Admin grupları için ayrılmış policy
• Network cihaz yönetimi için ayrı admin hesapları

---

4️⃣ Yönetim Erişimini ACL ile Sınırla

SSH açık olsa bile her IP’den erişilebilir olmamalıdır. Yönetim erişimi yalnızca jumpbox, bastion veya admin subnetlerinden gelmelidir.

ip access-list standard MGMT_ONLY
 permit 192.168.100.0 0.0.0.255
 deny any log

VTY’ye uygula:

line vty 0 4
 access-class MGMT_ONLY in

İyi Pratik

• Yönetim erişimi mümkünse ayrı management VRF üzerinden yapılmalıdır.
• Public internetten doğrudan SSH erişimi açılmamalıdır.
• Jumpbox/bastion üzerinden erişim zorunlu hale getirilmelidir.
• ACL içinde gereksiz geniş subnet kullanılmamalıdır.

---

5️⃣ Logging, NTP ve Config Archive

Güvenli yönetim yalnızca erişimi kısıtlamak değildir. Aynı zamanda yapılan işlemleri kayıt altına almak gerekir.

logging buffered 51200 informational
logging host 10.20.20.5
service timestamps log datetime msec localtime show-timezone
ntp server 10.30.30.5 prefer

Konfigürasyon değişikliklerini izlemek için:

archive
 log config
  logging enable
  notify syslog contenttype plaintext
 path flash:/config-archive
 maximum 14

Neden Önemli?

Bu yapı sayesinde:

• Hangi kullanıcının ne zaman konfigürasyon değiştirdiği izlenebilir.
• Değişiklikler syslog’a gönderilir.
• Konfigürasyon geçmişi arşivlenir.
• Olay sonrası inceleme kolaylaşır.

---

6️⃣ Hızlı Doğrulama Komutları

Kurulumdan sonra mutlaka doğrulama yapılmalıdır.

show ip ssh
show running-config | section aaa
show running-config | section line vty
show users
show accounting
show logging
show ip access-lists MGMT_ONLY
show archive

Beklenen Sonuçlar

• SSH version 2 aktif olmalı.
• VTY hatlarında sadece SSH izinli olmalı.
• Telnet erişimi kapalı olmalı.
• AAA method list doğru uygulanmış olmalı.
• TACACS+ accounting kayıtları oluşmalı.
• Management ACL hit almalı.
• Config archive çalışıyor olmalı.

---

7️⃣ İleri Seviye Operasyonel Sertleştirme

MFA Entegrasyonu

TACACS+ altyapısı DUO, Okta veya benzeri MFA çözümleriyle entegre edilerek cihaz yönetiminde ikinci faktör kullanılabilir.

Komut Bazlı Yetkilendirme

Her admin’e privilege 15 vermek yerine rol bazlı erişim uygulanmalıdır.

Örnek roller:

• Read-only NOC
• Network Operator
• Network Admin
• Security Admin
• Emergency Break-glass Admin

Başarısız Login Alarmı

Başarısız login denemeleri için syslog, SIEM veya EEM tabanlı alarm üretilebilir.

Örnek alarm mantığı:

5 dakika içinde 10 başarısız SSH login → SOC alarmı
Aynı IP’den tekrar eden deneme → temporary block / ACL review

Yedekleme

Konfigürasyon yedekleri SCP/SFTP ile merkezi bir sunucuya alınmalı ve değişiklik öncesi/sonrası karşılaştırma yapılmalıdır.

---

⚠️ Kötü → ✅ İyi Örnek

Kötü

line vty 0 4
 password cisco
 login
 transport input telnet ssh

İyi

line vty 0 4
 login authentication MANAGEMENT_AUTH
 transport input ssh
 access-class MGMT_ONLY in
 exec-timeout 10 0
 logging synchronous

---

⚡ 48s Mini-PoC Planı

1. Telnet açık cihazları listeleyin.
2. SSHv2 aktif olmayan cihazları tespit edin.
3. Test cihazında RSA key ve SSHv2 yapılandırın.
4. TACACS+ authentication ve local fallback’i doğrulayın.
5. VTY access-class ile yalnız admin subnetini izinli yapın.
6. Accounting commands 15 ile komut takibini test edin.
7. Config archive ve syslog bildirimini doğrulayın.
8. Başarılı test sonrası kademeli rollout planı çıkarın.

---

Sonuç

Cihaz yönetimi güvenliği, ağ güvenliğinin temel katmanlarından biridir. Telnet açık, AAA’sız ve logsuz bir yönetim modeli; saldırgan için doğrudan kontrol düzlemine açılmış kapıdır.

SSH + AAA + management ACL + accounting + config archive kombinasyonu ile cihaz yönetimini:

• güvenli,
• izlenebilir,
• denetlenebilir,
• merkezi yönetilebilir

hale getirebilirsiniz.

---