自适应安全设备 (ASA) 上的 TELNET 和 SSH

---

简介

在当今网络攻击日益频繁和复杂的世界中，网络安全是企业首要关注的问题之一。管理网络安全最常见的方法之一是使用防火墙，思科自适应安全设备 (ASA) 是企业网络中最常用的防火墙之一。在本文中，我们将重点介绍两种常用管理 ASA 的协议：Telnet 和 SSH。

TELNET 和 SSH 的定义

Telnet (TErminal NETwork) 是一种用于通过网络远程访问设备的协议。它允许用户远程连接到设备并访问其命令行界面，就像他们物理连接到设备一样。

安全外壳 (SSH) 也是一种用于远程访问的协议，但它在客户端和服务器之间提供加密连接，使其比 Telnet 更安全。它还提供其他功能，例如基于密钥的身份验证和文件传输。

ASA 上的 TELNET

ASA 上 TELNET 的定义

TELNET 代表远程通信网络协议，允许通过网络远程访问设备。在自适应安全设备 (ASA) 上，TELNET 是一种用于远程访问命令行界面 (CLI) 的协议。网络管理员通常将其用于配置管理、测试和故障排除。

在 ASA 上使用 TELNET 的优缺点

在 ASA 上使用 TELNET 的一个优点是其简单性。它易于配置和使用，因为它不需要任何额外的软件或许可证。

此外，与 SSH 等其他协议相比，它需要的处理能力更少。但是，在 ASA 上使用 TELNET 的一个主要缺点是它缺乏安全功能。

身份验证过程使用明文密码，黑客很容易拦截。这使得它容易受到窃听、窥探和中间人攻击等攻击。

在 ASA 上配置 TELNET

要在 ASA 上配置 TELNET，您需要确保已启用必要的接口以进行管理访问。然后，您可以从 CLI 或图形用户界面 (GUI) 配置 TELNET 设置，例如端口号和超时值。要在 CLI 模式下设置通过 TELNET 的远程访问

• 进入全局配置模式

ASA(config)#configure terminal  

• 启用您希望允许管理流量通过的特定接口

ASA(config)#interface ethernet 0/0 
ASA(config−if)#nameif outside ASA(config−if)#security−level 1 
ASA(config−if)#ip address 192.168.x.x 255.255.x.x  

• 配置来自该接口的入站流量的权限

ASA(config)#access−list outside_access_in permit tcp any host 192.168.x.x eq telnet  

• 将访问列表应用于接口

ASA(config)#access−group outside_access_in in interface outside  

• 最后，在 ASA 上启用 TELNET 并指定超时值

ASA(config)#telnet timeout 5  

完成这些步骤后，您可以使用配置的 IP 地址和端口号通过 TELNET 远程访问 ASA 设备。

虽然 TELNET 是一种易于使用的用于 ASA 远程管理的协议，但它缺乏可能使其容易受到攻击的安全功能。因此，管理员应考虑更安全的替代方案，例如我们将在后续部分讨论的 SSH。

ASA 上的 SSH

ASA 上 SSH 的定义

安全外壳 (SSH) 是一种加密协议，它在联网设备之间提供安全通信。该协议包含两个主要组件：SSH 客户端和 SSH 服务器。在思科自适应安全设备 (ASA) 的上下文中，SSH 服务器允许使用安全的身份验证和加密远程访问设备的命令行界面 (CLI)，以防止未经授权的访问。

在 ASA 上使用 SSH 的优缺点

在 ASA 上使用 SSH 的一个主要优点是它能够为数据传输提供强大的加密，这在管理敏感信息或对设备进行配置更改时尤其重要。此外，SSH 比 Telnet 提供更好的安全性，因为 Telnet 以明文发送命令，这使得攻击者更容易拦截和窃取敏感信息。

SSH 易于使用和配置，并提供许多可用选项。但是，在 ASA 上使用 SSH 也有一些缺点。

因为它使用加密协议，所以在某些情况下与 Telnet 相比，它可能会降低性能。此外，与 Telnet 等其他协议相比，设置 SSL 连接需要更多配置工作。

在 ASA 上配置 SSH

要在思科自适应安全设备 (ASA) 中配置安全外壳 (SSH) 访问，您需要一个已启用的用户名密码组合，该组合配置为具有 15 级或更高的权限。首先通过控制台或虚拟控制台连接登录到您的思科自适应安全设备 (ASA)。然后通过键入以下命令启用 ssh 版本 2

asa(config)#ssh version 2

现在通过键入以下命令设置 ssh 超时限制

asa(config)#ssh timeout 60 

您必须通过键入以下命令指定至少一个允许连接的地址

asa(config)#ssh [email protected] 

保存设置并通过键入以下命令启用 SSH 服务

asa(config)#write memory asa(config)#crypto key gen rsa mod 2048 

asa(config)#aaa authentication ssh console LOCALOnce 

完成这些步骤后，就可以通过安全外壳 (SSH) 连接到您的思科自适应安全设备 (ASA) 了。

ASA 上 TELNET 和 SSH 的比较

安全功能

在安全性方面，SSH 比 TELNET 安全得多。TELNET 以明文发送数据包，这意味着任何拦截流量的人都可读取数据包的内容，包括用户名和密码。

这使得攻击者很容易窃取敏感信息。另一方面，SSH 使用加密来保护设备之间发送的所有数据。

这不仅包括用户名和密码，还包括所有其他数据。因此，在安全性至关重要的环境中，首选 SSH。

性能

TELNET 通常比 SSH 快，因为它开销更小。相反，SSH 由于其加密过程而增加了开销。但是，除非您正在管理具有许多设备的大型网络或定期传输大量数据，否则这种性能差异可能并不明显。

易用性

TELNET 通常比 SSH 更易于使用，因为它需要的配置步骤更少，并且不需要安装大多数操作系统标配以外的额外软件。使用 TELNET，您只需为 TELNET 访问配置您的设备即可立即开始使用。

相比之下，由于 SSH 具有额外的安全功能（例如密钥生成和身份验证方法），因此其前期配置和使用需要更多工作。

总而言之，在决定在 ASA 设备上使用哪种协议进行管理时，应考虑各种因素，包括但不限于每种协议提供的安全功能；性能考虑；易用性差异可能会影响工作效率或负责设备管理任务的团队成员的普遍熟悉程度——这些因素应指导决策过程，以便组织可以根据其特定需求选择合适的协议，以确保网络通信流量安全，同时优化从小型网络到需要高级数据保护管理的企业级基础设施的不同级别的性能。

结论

在本文中，我们探讨了 TELNET 和 SSH 协议在思科自适应安全设备 (ASA) 上的重要性。我们定义了 TELNET 和 SSH，强调了它们的优缺点，并提供了在 ASA 上配置这两种协议的深入指南。

我们还根据安全功能、性能和易用性对 TELNET 和 SSH 进行了比较。我们讨论了在 ASA 上使用 TELNET 和 SSH 的最佳实践。