Securing a Cisco Device: Passwords, Users and Bannersپاراستنی ئامێرێکی Cisco: تێپەڕەوشەکان، بەکارهێنەران و بانەر

A new Cisco router or switch has no passwords at all. Anyone who plugs a console cable into it — a visitor in the server room, a student in the lab — reaches R1> and, with enable, R1#, where they can read the configuration, change it or erase it. Once the device has an IP address, the same is possible over the network. So securing access is part of the very first configuration, not an extra.

ڕێدۆز یان سویچێکی (Network switch) نوێی Cisco هیچ تێپەڕەوشەیەکی نییە. هەر کەسێک کێبڵێکی کۆنسۆڵ (Console cable) تێی بخات — میوانێک لە ژووری ڕاژەکارەکاندا (Server)، قوتابییەک لە تاقیگەدا — دەگاتە R1> و بە enable دەگاتە R1#، کە لەوێ دەتوانێت ڕێکخستنەکە بخوێنێتەوە، بیگۆڕێت یان بیسڕێتەوە. کاتێک ئامێرەکە ناونیشانی IPـی (IP address) هەبوو، هەمان شت لە ڕێگەی ڕایەڵەوە (Network) دەکرێت. بۆیە پاراستنی دەستڕاگەیشتن بەشێکە لە یەکەم ڕێکخستن، نەک شتێکی زیادە.

Think of the device as a building with several doors: the console port, the old AUX port and the virtual (vty) lines for remote logins all lead into user EXEC mode; an inner door, enable, leads to privileged EXEC mode. Each door needs its own lock. Good passwords themselves are explained in Passwords and Authentication.

ئامێرەکە وەک باڵەخانەیەک بزانە کە چەند دەرگایەکی هەیە: دەرچەی کۆنسۆڵ (Console port)، دەرچەی (Port) کۆنی AUX و هێڵەکانی VTY بۆ چوونەژوورەوە لە دوورەوە، هەموویان دەچنە ناو باری بەکارهێنەر (User EXEC mode)؛ دەرگایەکی ناوەوە، enable، دەبات بۆ باری مۆڵەتدار. هەر دەرگایەک قوفڵی خۆی پێویستە. تێپەڕەوشەکان باش خۆیان لە تێپەڕەوشەکان و پشتڕاستکردنەوەی ناسنامەدا ڕوون کراونەتەوە.

In this lesson you lock router R1 (and, the same way, switch SW1) of the network below. The checklist is: host name, privileged EXEC password and secret, console password, vty password — and a default gateway for the PCs (192.168.1.1, the router's G0/0), so they can reach other networks. Start, as always, with the host name; the prompt changes at once:

لەم وانەیەدا ڕێدۆزی ⁦R1⁩ (و بە هەمان شێوە سویچی ⁦SW1⁩)ی ئەم ڕایەڵەیەی خوارەوە قوفڵ دەکەیت. لیستی کارەکان ئەمەیە: ناوی میوانگر (Hostname)، تێپەڕەوشە و secretـی باری مۆڵەتدار، تێپەڕەوشەی کۆنسۆڵ، تێپەڕەوشەی vty — و دەروازەی بنەڕەتی (Default gateway) بۆ کۆمپیوتەرەکان (Computer) (⁦192.168.1.1⁩، ⁦G0/0⁩ـی ڕێدۆزەکە)، تا بگەنە ڕایەڵەکانی تر. وەک هەمیشە، بە ناوی میوانگر دەست پێ بکە؛ دەقی داواکردنەکە (Prompt) دەستبەجێ دەگۆڕێت:

The console is a line, so you lock it in line configuration mode: line console 0 selects it, password sets the password and login tells IOS to ask for it. Without login the password is stored but never asked for.

کۆنسۆڵ هێڵێکە، بۆیە لە ژێرباری ڕێکخستنی (Configuration sub-mode) line قوفڵی دەکەیت: line console 0 هەڵیدەبژێرێت، password تێپەڕەوشەکە دادەنێت و login بە IOS دەڵێت داوای بکات. بەبێ login تێپەڕەوشەکە هەڵدەگیرێت بەڵام هەرگیز داوا ناکرێت.

Log out (end, then exit) and press Enter: the console now says User Access Verification and asks for the password. The characters you type are not shown.

دەربچۆ (end، پاشان exit) و Enter دابگرە: کۆنسۆڵەکە ئێستا دەڵێت User Access Verification و داوای تێپەڕەوشەکە دەکات. ئەو پیتانەی دەینووسیت پیشان نادرێن.

The inner door, from R1> to R1#, is locked in global configuration mode with one of two commands. enable password … stores the password as plain text: anyone who sees show running-config reads it. enable secret … stores only a hash of it, so the password itself is not in the configuration. If both are set, IOS asks only for the secret — the secret wins. Cisco says to use enable secret, not the older enable password.

دەرگای ناوەوە، لە R1>ـەوە بۆ R1#، لە باری ڕێکخستنی گشتیدا (Global configuration mode) بە یەکێک لە دوو فەرمان (Command) قوفڵ دەکرێت. enable password … تێپەڕەوشەکە وەک دەقی ئاشکرا (Plaintext) هەڵدەگرێت: هەر کەسێک show running-config ببینێت دەیخوێنێتەوە. enable secret … تەنیا هاشێکی هەڵدەگرێت، بۆیە خودی تێپەڕەوشەکە لە ڕێکخستنەکەدا نییە. ئەگەر هەردووکیان دانرابن، IOS تەنیا داوای secret دەکات — secret سەردەکەوێت. Cisco دەڵێت دەبێت enable secret لەبری enable passwordـی کۆنتر بەکار بهێنرێت.

In show running-config the number after password or secret is the type — how the password is stored. Older notes and web pages list "six types" and mix them up; these are the ones IOS uses for logins today:

لە show running-configـدا ئەو ژمارەیەی دوای password یان secret دێت جۆرەکەیە — تێپەڕەوشەکە چۆن هەڵگیراوە. تێبینییە کۆنەکان و پەڕە وێبییەکان "شەش جۆر" ڕیز دەکەن و تێکەڵیان دەکەن؛ ئەمانە ئەوانەن کە IOS ئەمڕۆ بۆ چوونەژوورەوە بەکاریان دەهێنێت:

Two more numbers appear in lists: type 4 was a flawed SHA-256 method that Cisco withdrew, and type 6 is reversible AES encryption for stored keys (such as VPN keys), not for login passwords.

دوو ژمارەی تریش لە لیستەکاندا دەردەکەون: جۆری 4 ڕێگەیەکی ⁦SHA-256⁩ـی هەڵەدار بوو کە Cisco کشاندییەوە و جۆری 6 شفرەکردنی AESـی گەڕاوەیە بۆ کلیلە هەڵگیراوەکان (وەک کلیلەکانی VPN)، نەک بۆ تێپەڕەوشەکانی چوونەژوورەوە.

enable password and the line passwords are plain text. The global command service password-encryption turns every such password — now and in the future — into type 7, so they no longer stand readable in show running-config. That is all it does: it does not turn anything into type 5, and it does not touch secrets, which are already hashed.

enable password و تێپەڕەوشەکانی هێڵەکان دەقی ئاشکران. فەرمانی گشتیی service password-encryption هەموو ئەو جۆرە تێپەڕەوشەیەک — ئێستا و لە داهاتوودا — دەکاتە جۆری 7، تا چیتر بە خوێندراوی لە show running-configـدا نەوەستن. هەر ئەوەندە دەکات: هیچ شتێک ناکاتە جۆری 5 و دەست لە secretـەکان نادات، کە پێشتر هاش کراون.

Type 7 is not real encryption. It is a simple scrambling with a key that has been public for decades; free tools turn it back into the password in a second. Cisco calls type 7 passwords obfuscated, not encrypted. Still turn it on — it stops someone reading a password over your shoulder or in a printed configuration — but never rely on it: use secrets.

جۆری 7 شفرەکردنی ڕاستەقینە نییە. تێکدانێکی سادەیە بە کلیلێک کە دەیان ساڵە ئاشکرایە؛ ئامرازی بێبەرانبەر لە چرکەیەکدا دەیگەڕێننەوە بۆ تێپەڕەوشەکە. Cisco بە تێپەڕەوشەکانی جۆری 7 دەڵێت شاراوە، نەک شفرەکراو. هێشتا چالاکی بکە — ڕێگری لەوە دەکات کەسێک تێپەڕەوشەیەک لە پشت شانتەوە یان لە ڕێکخستنێکی چاپکراودا بخوێنێتەوە — بەڵام هەرگیز پشتی پێ مەبەستە: secret بەکار بهێنە.

A secret is stored as a hash: the password and a random salt go through a one-way hash function, and only the result is kept. At login, IOS hashes what you type with the same salt and compares. A hash cannot be turned back, so an attacker can only hash guess after guess (hashing, salting passwords).

secret وەک هاش هەڵدەگیرێت: تێپەڕەوشەکە و خوێیەکی هەڕەمەکی بە کردارێکی هاشی (Hash function) یەک ئاڕاستەدا دەڕۆن و تەنیا ئەنجامەکە دەهێڵدرێتەوە. لە کاتی چوونەژوورەوەدا، IOS ئەوەی دەینووسیت بە هەمان خوێ هاش دەکات و ئەنجامەکان بەراورد دەکات. هاش ناگەڕێتەوە، بۆیە هێرشبەر تەنیا دەتوانێت مەزەندە لە دوای مەزەندە هاش بکات (هاشکردن، خوێدانی تێپەڕەوشەکان).

So the speed of the hash decides how many guesses per second an attacker gets. MD5 (type 5) is fast and broken; Cisco asks for type 5 secrets to move to type 8 or 9. Type 9 (scrypt) is slow on purpose and needs much memory, which makes guessing very expensive.

بۆیە خێرایی هاشەکە بڕیار دەدات هێرشبەر لە چرکەیەکدا چەند مەزەندە بکات. ⁦MD5⁩ (جۆری ⁦5⁩) خێرا و شکاوە، بۆیە چیتر بە بەهێز ناوی نابرێت؛ Cisco داوا دەکات secretـی جۆری 5 بگوازرێتەوە بۆ جۆری 8 یان 9. جۆری 9 (scrypt) بە ئەنقەست هێواشە و بیرگەیەکی زۆری پێویستە، کە مەزەندەکردن زۆر گران دەکات.

Length is what makes a password hard to guess (why length wins). security passwords min-length in global configuration makes IOS refuse new user, enable and line passwords and secrets that are shorter than the number you give. It is off by default, and IOS checks the length when a password is typed — so set the minimum before the passwords.

درێژییە کە تێپەڕەوشەیەک قورس دەکات بۆ مەزەندەکردن (بۆچی درێژی سەردەکەوێت). security passwords min-length لە باری ڕێکخستنی گشتیدا وا لە IOS دەکات تێپەڕەوشە و secretـی نوێی بەکارهێنەر، enable و هێڵەکان ڕەت بکاتەوە کە لەو ژمارەیەی دەیدەیت کورتتر بن. بە شێوەی بنەڕەت ناچالاکە و IOS درێژییەکە لە کاتی نووسینی تێپەڕەوشەکەدا دەپشکنێت — بۆیە کەمترین درێژی پێش تێپەڕەوشەکان دابنێ.

A line password is one shared password: everyone knows it, and the log cannot say who logged in. Better: create a user account for each person with username <name> secret <password> (never username … password …, which is stored as type 0 or 7), and tell the line to use these accounts with login local. The line password is then ignored.

تێپەڕەوشەی هێڵ یەک تێپەڕەوشەی هاوبەشە: هەمووان دەیزانن و تۆمارەکە ناتوانێت بڵێت کێ چووە ژوورەوە. باشتر: بۆ هەر کەسێک هەژمارێکی بەکارهێنەر دروست بکە بە username <name> secret <password> (هەرگیز username … password …، کە وەک جۆری 0 یان 7 هەڵدەگیرێت) و بە login local بە هێڵەکە بڵێ ئەم هەژمارانە بەکار بهێنێت. ئیتر تێپەڕەوشەی هێڵەکە پشتگوێ دەخرێت.

Remote logins (SSH, or the old Telnet) arrive on virtual terminal (vty) lines. A switch usually has 16 (line vty 0 15); many routers show 5 (line vty 0 4). Each remote session takes one free line, so lock all of them: either a password with login, or better login local. The complete remote set-up — a local user and SSH-only vty lines — is in Managing Devices Remotely. Later an access list can also limit who may even try (access-class).

چوونەژوورەوە لە دوورەوە (SSH، یان Telnetـی کۆن) دەگاتە سەر هێڵەکانی VTY (هێڵی تێرمیناڵی گریمانەیی). سویچ زۆرجار ⁦16⁩ـی هەیە (line vty 0 15)؛ زۆر ڕێدۆز 5 پیشان دەدەن (line vty 0 4). هەر دانیشتنێکی دوور هێڵێکی بەتاڵ دەگرێت، بۆیە هەموویان قوفڵ بکە: یان تێپەڕەوشەیەک لەگەڵ login، یان باشتر login local. ڕێکخستنی تەواوی دوور — بەکارهێنەرێکی ناوخۆیی و هێڵەکانی VTYـی تەنیا SSH — لە بەڕێوەبردنی ئامێرەکان لە دوورەوەدایە. دواتر ACL دەتوانێت دیاری بکات کێ تەنانەت بۆی هەیە هەوڵ بدات (⁦access-class⁩).

An administrator walks away from a logged-in console — and anyone can use it. exec-timeout logs a session out after it has been idle for a while. The default is 10 minutes; exec-timeout 5 0 (minutes, seconds) is a good lab value. exec-timeout 0 0 means never and should not be used.

بەڕێوەبەرێک لە کۆنسۆڵێکی چووەژوورەوە دوور دەکەوێتەوە — و هەر کەسێک دەتوانێت بەکاری بهێنێت. exec-timeout دانیشتنێک دوای کاتێکی بێکاری دەردەکات. بنەڕەتەکەی ⁦10⁩ خولەکە؛ exec-timeout 5 0 (خولەک، چرکە) بەهایەکی باشە بۆ تاقیگە. exec-timeout 0 0 واتە هەرگیز و نابێت بەکار بهێنرێت.

banner motd (message of the day) sets a text that everyone sees when they connect, before the login prompt. Type the command, a delimiter character such as #, the text and the same delimiter again; the delimiter may not appear inside the text. You can write it on one line, or press Enter after the first # and IOS lets you type several lines.

banner motd (message of the day) دەقێک دادەنێت کە هەمووان کاتی پەیوەندیکردن دەیبینن، پێش دەقی داواکردنی چوونەژوورەوە. فەرمانەکە، نیشانەیەکی جیاکەرەوە وەک #، دەقەکە و دووپاتە هەمان جیاکەرەوە بنووسە؛ جیاکەرەوەکە نابێت لە ناو دەقەکەدا بێت. دەتوانیت لە یەک دێڕدا بینووسیت، یان دوای یەکەم # Enter دابگریت و IOS ڕێگەت دەدات چەند دێڕێک بنووسیت.

Use the banner as a legal warning: say that access is for authorised people only and is monitored. It is not decoration and not a welcome: "Welcome" sounds like an invitation, while a clear warning means no intruder can say they were not told. Do not name the company, the device model or a person; Cisco advises leaving such details out.

بانەرەکە وەک ئاگادارکردنەوەیەکی یاسایی بەکار بهێنە: بڵێ دەستڕاگەیشتن تەنیا بۆ کەسانی مۆڵەتدارە و چاودێری دەکرێت. جوانکاری نییە و بەخێرهاتن نییە: ⁦"Welcome"⁩ وەک بانگهێشتێک دەردەکەوێت، بەڵام ئاگادارکردنەوەیەکی ڕوون وا دەکات کەسی بێمۆڵەت نەتوانێت بڵێت ئاگادار نەکرابووەوە. ناوی کۆمپانیا، مۆدێلی ئامێرەکە یان کەسێک مەبە؛ Cisco ئامۆژگاری دەکات ئەو وردەکارییانە دانەنرێن.

Check your work with show running-config (from configuration mode, do show running-config): you see every password line and its type. To remove a setting, type the same command with no in front. Line passwords are removed inside the line — there is no no line console password command.

کارەکەت بە show running-config بپشکنە (لە ڕێکخستنەوە، do show running-config): هەموو دێڕێکی تێپەڕەوشە و جۆرەکەی دەبینیت. بۆ لابردنی ڕێکخستنێک، هەمان فەرمان بنووسە و no بخە پێشەوەی. تێپەڕەوشەکانی هێڵ لە ناو هێڵەکەدا لادەبرێن — فەرمانێکی no line console password نییە.

Here is a clean sequence that locks a new router from scratch. It follows the usual order of a lab and adds the steps that are often left out: the vty and AUX lines, a timeout, the banner and — always — saving.

ئەمە زنجیرەیەکی پاکە کە ڕێدۆزێکی نوێ لە سفرەوە قوفڵ دەکات. ڕیزی ئاسایی تاقیکردنەوەیەک پەیڕەو دەکات و ئەو هەنگاوانەش زیاد دەکات کە زۆرجار لەبیر دەکرێن: هێڵەکانی VTY و هێڵی AUX، کاتی دەرکردن ⁦(exec-timeout)⁩، بانەر و — هەمیشە — پاشەکەوتکردن.