Bài 77b: Thực hành bảo mật truy cập thiết bị — Mật khẩu mạnh, tài khoản local và SSH trên router, switch Cisco

⏱️ Thời lượng: 45–60 phút · 📶 Độ khó: Cơ bản – Trung bình · 🧰 Công cụ: Cisco Packet Tracer 8.x · 📌 Cần học trước: Bài 77

Sơ đồ lab Bài 77b · ⬇️ Tải sơ đồ (SVG) · 🔍 Mở cỡ lớn

💡 Liên hệ thực tế

Một router mới bóc hộp không có mật khẩu nào. Cắm cáp console là vào thẳng chế độ cấu hình. Nếu quản trị từ xa bằng Telnet, mật khẩu đi trên mạng dưới dạng chữ thường — ai bắt được gói là đọc được.

Bài lab này đưa router và switch về mức bảo mật tối thiểu mà mọi thiết bị trong mạng doanh nghiệp nên có: mật khẩu đủ dài và được mã hoá, tài khoản riêng cho từng người, chỉ cho quản trị từ xa bằng SSH, tự thoát khi bỏ quên phiên, chặn dò mật khẩu.

Quy tắc ghi nhớ — 4 thứ SSH cần: hostname (khác mặc định), ip domain-name, khoá RSA, tài khoản local. Sau đó trên VTY: login local + transport input ssh.

🎯 Mục tiêu bài lab

• Đặt chính sách độ dài mật khẩu, enable secret, mật khẩu console, mã hoá mật khẩu trong cấu hình.
• Tạo tài khoản local có mức quyền.
• Bật SSH version 2, tắt Telnet trên VTY của router và switch.
• Đặt thời gian tự thoát và chặn đăng nhập sai nhiều lần.
• Kiểm tra bằng show ip ssh, ssh -l từ PC.

📋 Bảng địa chỉ và đấu nối

⚙️ Các bước thực hiện

⚙️ Bước 1 — Dựng sơ đồ và cấu hình nền

Kéo ra 1 router 2911, 1 switch 2960-24TT và 1 PC. Nối cáp, đặt IP cho PC-ADMIN.

hostname R1
no ip domain-lookup
interface gigabitEthernet 0/0
 ip address 192.168.1.1 255.255.255.0
 no shutdown
end

hostname SW1
no ip domain-lookup
interface vlan 1
 ip address 192.168.1.2 255.255.255.0
 no shutdown
ip default-gateway 192.168.1.1
end

Kiểm tra: PC-ADMIN ping được R1 và SW1.

⚙️ Bước 2 — Chính sách mật khẩu trên R1

R1(config)# security passwords min-length 10
R1(config)# enable secret abc
% Password too short - must be at least 10 characters. Password configuration failed
R1(config)# enable secret Enable@2026
R1(config)# line console 0
R1(config-line)# password Console@2026
R1(config-line)# login
R1(config-line)# exec-timeout 5 0
R1(config-line)# exit
R1(config)# service password-encryption
R1(config)# banner motd #Chi nguoi duoc phep moi duoc truy cap thiet bi nay#

• security passwords min-length 10: từ giờ mọi mật khẩu mới phải từ 10 ký tự — nên đặt lệnh này trước các mật khẩu khác.
• enable secret lưu dạng băm một chiều; luôn dùng thay cho enable password.
• exec-timeout 5 0: bỏ quên phiên 5 phút là tự thoát.
• service password-encryption: che các mật khẩu dạng chữ thường còn lại (như mật khẩu console) bằng mã hoá loại 7. Loại 7 dễ giải ngược, chỉ chống nhìn trộm màn hình — không thay được secret.

⚙️ Bước 3 — Tài khoản local và SSH trên R1

R1(config)# username admin privilege 15 secret Admin@2026
R1(config)# ip domain-name vnexperts.local
R1(config)# crypto key generate rsa
The name for the keys will be: R1.vnexperts.local
Choose the size of the key modulus in the range of 360 to 2048 for your
  General Purpose Keys. Choosing a key modulus greater than 512 may take
  a few minutes.

How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
R1(config)# ip ssh version 2
R1(config)# line vty 0 4
R1(config-line)# login local
R1(config-line)# transport input ssh
R1(config-line)# exec-timeout 5 0
R1(config-line)# exit
R1(config)# login block-for 120 attempts 3 within 60

• Tên khoá RSA ghép từ hostname và domain name — đó là lý do cần cả hai.
• SSH version 2 cần khoá từ 768 bit trở lên; dùng 1024 cho chắc.
• login local: đăng nhập bằng tài khoản local (có username), không dùng mật khẩu chung của line.
• transport input ssh: VTY chỉ nhận SSH, Telnet bị từ chối.
• login block-for 120 attempts 3 within 60: sai 3 lần trong 60 giây thì chặn đăng nhập 120 giây.

⚙️ Bước 4 — Làm tương tự trên SW1

SW1(config)# security passwords min-length 10
SW1(config)# enable secret Enable@2026
SW1(config)# service password-encryption
SW1(config)# username admin privilege 15 secret Admin@2026
SW1(config)# ip domain-name vnexperts.local
SW1(config)# crypto key generate rsa general-keys modulus 1024
SW1(config)# ip ssh version 2
SW1(config)# line console 0
SW1(config-line)# password Console@2026
SW1(config-line)# login
SW1(config-line)# exec-timeout 5 0
SW1(config-line)# line vty 0 15
SW1(config-line)# login local
SW1(config-line)# transport input ssh
SW1(config-line)# exec-timeout 5 0
SW1(config-line)# exit
SW1(config)# interface range fastEthernet 0/2 - 24
SW1(config-if-range)# shutdown

Switch 2960 có 16 line VTY (0–15) — nhớ khoá hết. Tắt các cổng chưa dùng để không ai cắm máy lạ vào được.

⚙️ Bước 5 — Thử đăng nhập từ PC-ADMIN

C:\> ssh -l admin 192.168.1.1
Password:

Chi nguoi duoc phep moi duoc truy cap thiet bi nay

R1#

Vào thẳng R1# vì tài khoản có privilege 15. Gõ exit, rồi thử telnet 192.168.1.1 → kết nối bị từ chối, vì VTY chỉ nhận SSH. Làm lại với SW1 (192.168.1.2).

💾 Bước 6 — Lưu cấu hình

R1# copy running-config startup-config
SW1# copy running-config startup-config

🔍 Kiểm tra kết quả

🔍 Output mẫu

R1# show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 120 secs; Authentication retries: 3

🛠️ Lỗi thường gặp & cách xử lý

🏆 Thử thách mở rộng

1. Tạo thêm tài khoản helpdesk chỉ có privilege 1. SSH vào bằng tài khoản này — dấu nhắc là gì? Có vào được chế độ cấu hình không?
2. Từ PC-ADMIN cố ý SSH sai mật khẩu 3 lần liên tiếp. Chuyện gì xảy ra với lần thử thứ tư?

R1(config)# username helpdesk privilege 1 secret Helpdesk@2026

💬 Hỏi & Đáp nhanh

❓ SSH khác Telnet ở điểm nào?

✅ Cả hai cho bạn dòng lệnh từ xa. Telnet (TCP 23) gửi mọi thứ — kể cả mật khẩu — dạng chữ thường. SSH (TCP 22) mã hoá toàn bộ phiên. Ngoài thực tế không nên dùng Telnet.

❓ enable password và enable secret cùng có thì dùng cái nào?

✅ enable secret được ưu tiên; enable password bị bỏ qua.

❓ Có nên dùng mã hoá loại 7 cho yên tâm?

⚠️ Loại 7 giải ngược được bằng công cụ có sẵn trên mạng. Hãy coi nó chỉ là che màn hình. Mật khẩu quan trọng luôn dùng secret.

📝 Bài tập đánh giá

Câu 1: Thiếu bước nào thì crypto key generate rsa không chạy được?

• A. ip ssh version 2
• B. ip domain-name
• C. transport input ssh
• D. service password-encryption

Câu 2: Lệnh nào trên VTY bắt người dùng đăng nhập bằng username/password cấu hình trên chính thiết bị?

• A. login
• B. login local
• C. password cisco
• D. transport input ssh

👉 Đáp án

• Câu 1: B — Khoá RSA cần tên dạng hostname.domain-name. A và C làm sau khi đã có khoá.
• Câu 2: B — login dùng mật khẩu chung của line; login local dùng tài khoản local.

💡 Output trong bài là output mẫu trên Packet Tracer, trên máy bạn có thể khác một chút (ví dụ địa chỉ MAC).

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng