Switch SSH Yapılandırması: Telnet ve HTTP'yi Kapatmak

Switch SSH yapılandırması, switch’in uzaktan yalnız şifreli bir kanaldan yönetilmesini sağlayan ayarların bütünüdür. SSH açılır ve yalnız 2. sürümüne izin verilir; Telnet ile şifresiz web arayüzü (HTTP) kapatılır. Bu rehberde lab switch’imde bu kapıları tek tek açıp kapatıyorum. Üç şeyi de ölçüyorum: HTTP’nin parolayı nasıl düz metin taşıdığını, Telnet’i Telnet üzerinden kapatınca ne olduğunu ve switch’in gösterdiği parmak izini istemcidekiyle nasıl karşılaştıracağınızı.

Bir süpermarket şubesi merkezden telefonla yönetilir. Eski usul bir paralel hatta aynı hattı dinleyen herkes konuşmayı duyar; yeni hat konuşmayı şifreler ve karşı tarafın gerçekten şube olduğunu doğrular. Şubenin bir de kimsenin aklına gelmeyen ikinci bir hattı vardır. Bu yazıda SSH yeni hattır, Telnet eski paralel hattır, web arayüzü de o unutulan ikinci hattır.

Bu yazı, switch yapılandırma rehberimizdeki kontrol listesinin 6. adımıdır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık.

SSH’ın nasıl çalıştığını ve ağ cihazlarında kurulumdan sonra nelere dikkat istediğini SSH nedir yazımızda, Telnet’in parolayı neden açık taşıdığını da Telnet nedir yazımızda anlattık. Bu rehber ikisinin switch üzerindeki uygulamasıdır.

Switch’te Uzaktan Yönetim Kapıları: SSH, Telnet ve Web Arayüzü

İşe switch’in bugün hangi kapıları açık tuttuğunu okuyarak başlıyorum. Bir switch’e ağ üzerinden üç yoldan girilebilir ve her birinin durumu ayrı bir komutla okunur.

SSH’ın durumunu show ip ssh gösterir. İlk satır servisin açık olup olmadığını, ikinci satır hangi sürümleri kabul ettiğini söyler:

gmsw01#show ip ssh
SSH Server enabled.  Port: 22
Protocol Levels: Version 2.
SSH Connections Currently in Use: ............. 1
Maximum number of SSH Sessions Allowed: ....... 5
SSH Session Timeout: .......................... 600
RSA key was generated.
DSA key was generated.
SSH Public Key Authentication is enabled.
...

Telnet’in durumunu show ip telnet gösterir:

gmsw01#show ip telnet
Telnet Server is Disabled.  Port :  23

Web arayüzünün iki hâli ayrı komutlarla okunur. Şifresiz HTTP:

gmsw01#show ip http server status
HTTP Server is Disabled.  Port :  80

Şifreli HTTPS:

gmsw01#show ip http server secure status
HTTPS Server is Disabled.  Port :  443
...

Bu switch’te iş zaten yapılmış. SSH açık ve yalnız 2. sürümü kabul ediyor; Telnet, HTTP ve HTTPS kapalı. Kendi switch’inizde bu dört çıktının birinde Enabled görüyorsanız o kapı açıktır.

Üç kapının farkı taşıdıklarında yatar:

• SSH (port 22) oturumu şifreler ve switch’in kimliğini bir anahtarla kanıtlar.
• Telnet (port 23) kullanıcı adını, parolayı ve yazılan her komutu düz metin taşır.
• Web arayüzü iki biçimde gelir. HTTP (port 80) giriş parolasını düz metin taşır, HTTPS (port 443) şifreler.

Aşağıda eksik bir switch’i baştan kurar gibi ilerliyorum. Lab switch’imde kapalı olan Telnet ile HTTP’yi ölçüm için geçici olarak açtım ve hiçbirini kaydetmedim.

Switch SSH Yapılandırmasından Önce: Hesap, Adres ve Konsol

Uzaktan yönetim kapısını değiştirmeden önce üç şeyin hazır olması gerekir.

Birincisi, SSH ile girecek bir hesap. SSH, switch’in kullanıcı listesindeki bir hesapla giriş ister. Hesabın nasıl açıldığını ve yetkisinin nasıl verildiğini switch’te yerel yönetici hesabı yazımızda anlattık.

İkincisi, bir yönetim adresi. Switch’e ağdan ulaşmak için bir IP adresi ve ağ geçidi gerekir; ikisini de yönetilebilir switch ayarları yazımızda verdik.

Üçüncüsü, ağdan bağımsız bir geri dönüş yolu. Bu adımlar yönetim kapılarını değiştiriyor ve yanlış sıradaki bir komut sizi dışarıda bırakabilir. Konsol bağlantısı ağdan geçmediği için bu ayarlardan etkilenmez. Değişikliği SSH’tan yapıyorsanız ikinci bir SSH oturumunu da açık tutun.

Switch’te SSH’ı Açmak: Anahtar, Servis ve Sürüm

Hesap, adres ve geri dönüş yolu hazır. SSH üç satırla açılır.

configure
crypto key generate rsa
ip ssh server
ip ssh protocol 2
exit

Satırların işi sırasıyla şöyledir:

1. crypto key generate rsa switch’in ana bilgisayar anahtarını üretir. Bu anahtar switch’in kimliğidir; SSH istemcisi her bağlantıda karşısındakinin gerçekten bu switch olduğunu onunla doğrular. Anahtar yoksa SSH servisi çalışmaz.
2. ip ssh server SSH servisini açar.
3. ip ssh protocol 2 yalnız 2. sürümü kabul ettirir. Lab switch’im varsayılan ayarıyla 1. sürümü de kabul ediyordu; 1. sürümün neden terk edildiğini SSH nedir yazımızda anlattık.

Anahtarın özel yarısı switch’ten hiç çıkmaz ve switch her bağlantıda onunla imza atar; açık yarısıyla o imza doğrulanabilir ama yeni bir imza üretilemez. Bunun neden böyle olduğunu, RSA’nın arkasındaki matematikle ve gerçeğinin adını harfi harfine taşıyan sahte bir sertifikayla sertifika otoritesi yazımızın anahtar çifti bölümünde anlattık. Anahtar taklit edilemez ama başka bir cihaz switch’in yerine geçmeye çalışabilir; bunun istemcide nasıl göründüğünü aşağıda, parmak izi bölümünde ölçtüm.

Lab switch’imde anahtar zaten vardı ve birinci satırı bu yüzden çalıştırmadım. Anahtarı yeniden üretmek switch’in parmak izini değiştirir. O switch’e daha önce bağlanmış her istemci ve gece çalışan yedek betiği bir sonraki bağlantıda uyarı verip bağlanmayı reddeder. Anahtar üretimi kurulum günü bir kez yapılır; sonradan yenilenecekse bu kayıtların güncellenmesiyle birlikte planlanır.

Parola yerine anahtarla girişi açan ip ssh pubkey-auth satırı da lab switch’imde açık. Ne zaman gerektiğini SSH nedir yazımızda anlattık.

Şube benzetmesinde bu üç satır, şubeye yeni hattı çekmek, hatta şubenin sesini tanıtan kaydı yapmak ve eski model telefonların bu hatta bağlanmasını yasaklamaktır.

Parmak İzini Switch Ekranıyla Karşılaştırmak

SSH ile bir switch’e ilk kez bağlandığınızda istemci bir parmak izi gösterir ve güvenip güvenmediğinizi sorar. Doğru cevap, o parmak izini switch’in kendi ekranında gördüğünüzle karşılaştırmaktır. Switch’in ekranını konsoldan ya da zaten güvendiğiniz bir oturumdan okursunuz:

gmsw01#show crypto key mypubkey rsa
 RSA key data:
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAgQDiFyJ0BEs7VxdIeZSEx7l3Ur+B2jgqykMHVEiMdhAYAfQyPqfz0SaVashROikvHnC8gFI99g9DRDrmUxXKv+iXe9zS/L4TpiPkotmICfoL7Gs29hulQzHxA4arLglSe5JwPTQNWMYlVmdsu0rq2mUGrSMhHLxucfvVwyZxc0CN1Q==
 Fingerprint (Hex):  40:c0:89:b1:ae:28:11:ba:b2:3a:4a:cd:7d:56:d9:23
 Fingerprint (Bubble Babble):  xupoh-boken-lahuk-radas-zepal-telos-fenub-gydek-rurek-rezah-gyx

Aynı switch’in parmak izi istemcide başka görünür. Güncel SSH istemcileri parmak izini SHA256 ile üretir; OpenSSH’ta bu, 2015’ten beri varsayılandır. Lab switch’im ise eski biçimi kullanıyor: ekranda yalnız Fingerprint (Hex) yazıyor, hash’in adı geçmiyor ve aşağıdaki ölçüm bunun MD5 olduğunu gösteriyor.

Switch’lerin bu konuda ortak bir davranışı yok. Üreticiye ve yazılım sürümüne göre kimi SHA256 gösterir, kimi hiç parmak izi göstermez ve yalnız anahtarı verir. İki farklı biçimi yan yana koyunca eşleşip eşleşmediğini gözle anlamak mümkün değildir. Çözüm, switch ekranındaki anahtarı kendi bilgisayarınızda okutup iki biçimi de üretmektir.

Komutları Windows’ta gösteriyorum. Windows 10’un 1809 sürümünden beri OpenSSH, Windows’un kendi özelliği olarak geliyor ve aşağıdaki araçlar onunla birlikte kurulur. Komut İstemi’nde ssh -V bir sürüm gösteriyorsa kuruludur; göstermiyorsa isteğe bağlı özelliklerden eklenir. Aynı komutlar Linux ve macOS’ta da değişmeden çalışır.

Ekrandaki ssh-rsa AAAA... satırını Not Defteri’ne yapıştırıp switch.pub adıyla kaydedin, sonra o klasörde şu iki komutu çalıştırın:

ssh-keygen -lf switch.pub
ssh-keygen -lf switch.pub -E md5

1024 SHA256:9Uw/V4h+wfWpGJkdjUW86Rubnjk9818k8Uw0dBS2Kxc no comment (RSA)
1024 MD5:40:c0:89:b1:ae:28:11:ba:b2:3a:4a:cd:7d:56:d9:23 no comment (RSA)

İkinci satır switch’in ekranındaki 40:c0:89:... değeriyle birebir aynı; switch’in onaltılık parmak izinin MD5 olduğunu bu gösteriyor. Birinci satır ise istemcinin ilk bağlantıda göstereceği değerdir: orada SHA256:9Uw/... görürseniz “evet” dersiniz. Sondaki no comment, dosyada açıklama satırı olmadığını söyler ve önemi yoktur.

Satırın başındaki 1024 anahtarın uzunluğudur ve bugün yetersiz sayılır; bunun ne anlama geldiğini SSH nedir yazımızda açtık. Switch’iniz yalnız anahtarı veriyorsa ikinci komuta gerek kalmaz; doğrudan SHA256 gösteriyorsa birinci satırla karşılaştırırsınız.

Parmak İzi Değişti Uyarısı: Sahte Cihaz mı, Yeni Anahtar mı?

Switch’in anahtarı taklit edilemez, ama başka bir cihaz switch’in yerine geçmeye çalışabilir. Switch’in adresini üstlenen sahte bir cihaz kendi anahtarıyla gelmek zorundadır, çünkü switch’inkini üretemez. İstemci bu farkı, kaydettiği parmak iziyle yakalar.

Bunu switch’in anahtarına dokunmadan ölçtüm. Boş bir kayıt dosyasına (known_hosts) yalnız switch’in gerçek anahtarını yazdım. Sonra lab’daki başka bir makineye, ntp01’e bağlandım ve HostKeyAlias seçeneğiyle istemciye onu 192.168.10.2 olarak tanımasını söyledim. Araya giren bir cihazın yaptığı da budur: switch’in adresinde başka bir makine.

ssh -o UserKnownHostsFile=known_hosts -o HostKeyAlias=192.168.10.2 sistemkusu@192.168.1.15

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
SHA256:e+rAsrG0lsLp8oZxKlEw9Z+7jX8u8VGBNvyBdRk6syI.
Please contact your system administrator.
Add correct host key in known_hosts to get rid of this message.
Offending RSA key in known_hosts:1
Host key for 192.168.10.2 has changed and you have requested strict checking.
Host key verification failed.

Uyarıdaki parmak izi (SHA256:e+rAs...) ntp01’in kendi anahtarıdır. İstemci bağlantıyı kullanıcı adı ve parola gönderilmeden kesti.

Asıl ders uyarının içindeki It is also possible that a host key has just been changed. satırındadır. İstemci iki durumu birbirinden ayıramaz: araya giren bir cihaz da, anahtarı yeniden üretilmiş gerçek switch de aynı uyarıyı verir. Hangisi olduğunu yalnız anahtarı kimin, ne zaman değiştirdiğini bilen kişi söyleyebilir.

Anahtar yenilemesi bu yüzden bir duyuruyla birlikte yapılır:

1. Yeni parmak izini duyurun. Anahtarı ürettikten sonra parmak izini yukarıdaki gibi switch’in ekranıyla karşılaştırıp doğrular, SHA256 değerini switch’e bağlanan herkese yazılı iletirsiniz.
2. Eski kaydı her istemcide silin. Bir sonraki bağlantıda gelen parmak izi sizin ilettiğinizle karşılaştırılır. Eski kaydı ssh-keygen -R siler; lab’daki kayıt dosyasında şunu verdi:

ssh-keygen -R 192.168.10.2 -f known_hosts

# Host 192.168.10.2 found: line 1
known_hosts updated.
Original contents retained as known_hosts.old

Kendi bilgisayarınızda -f gerekmez; komut varsayılan kayıt dosyasında çalışır. PuTTY kullanıyorsanız silinecek kayıt başka bir yerde durur; ikisi de aşağıda.

3. Yedek sunucusunu unutmayın. Gece yedeğini alan betik BatchMode=yes ile bağlandığı için soru soramaz. Kayıt eski kaldıkça bağlantı aynı Host key verification failed satırıyla kesilir ve o gecenin yedeği alınmaz.

Duyurulmamış bir değişiklikte ise kaydı silmek, uyarının yakalamak için var olduğu şeyi susturmak olur. Anahtarı kimse değiştirmediyse kaydı silip bağlanmayın; önce konsoldan show crypto key mypubkey rsa ile switch’in gerçek parmak izine bakın. Uyarının iki olası anlamını SSH nedir yazımızda açtık.

Şube benzetmesinde bu, şubenin numarasından arayan ama kayıtlı sesle konuşmayan biridir: numara kopyalanabilir, ses kopyalanamaz.

Windows’ta SSH Anahtar Kayıtları Nerede Durur?

İstemcinin bir kez “evet” dediği anahtarları sakladığı yer, DNS’teki hosts dosyası gibidir: gözden uzak durur ama her bağlantıda okunur. Windows’ta bu kayıt, kullandığınız istemciye göre iki ayrı yerde tutulur ve iki yer birbirini görmez.

Windows’un kendi SSH istemcisi kayıtları kullanıcı klasörünüzdeki bir dosyada tutar: %USERPROFILE%\.ssh\known_hosts, yani C:\Users\<kullanıcı adınız>\.ssh\known_hosts. Her satır bir adres ve o adreste tanınan anahtardır. Bir adresin kaydını dosyayı açmadan ssh-keygen -F gösterir:

ssh-keygen -F 192.168.1.15

# Host 192.168.1.15 found: line 7
192.168.1.15 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIPk+sPVWkY7j/x3hHBAAThMAQHUfXwzD4QFoEnhvQQNf

PuTTY ise dosya kullanmaz; kayıtları Windows kayıt defterinde, kendi belgesinde yazdığı gibi HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\SshHostKeys altında tutar. Lab bilgisayarımda switch’in kaydı orada şöyle duruyor:

reg query HKCU\Software\SimonTatham\PuTTY\SshHostKeys /v rsa2@22:192.168.1.2

HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\SshHostKeys
    rsa2@22:192.168.1.2    REG_SZ    0x10001,0xe2172274044b3b571748799484c7b97752bf81da382aca430754488c7610180...

Değerin adı anahtar türü, port ve adresten oluşur. İçeriği parmak izi değil, anahtarın kendisidir: 0xe2172274... diye başlayan sayı, switch ekranındaki ssh-rsa AAAA... satırının taşıdığı sayının onaltılık yazılışıdır.

Bu kayıt iki şeyi birden gösteriyor:

1. Adres eski. Switch o tarihte 192.168.1.2’deydi; kayıt adrese göre tutulduğu için bugünkü yönetim adresinde (192.168.10.2) bu satır işe yaramaz.
2. Aynı switch’in kaydı known_hosts’ta yok. ssh-keygen -F 192.168.1.2 hiçbir satır döndürmedi. PuTTY’de “evet” dediğiniz bir cihaz, Komut İstemi’ndeki ssh için hâlâ yabancıdır.

Anahtar yenilendiğinde silinecek kayıt da istemciye göre değişir: ssh için ssh-keygen -R, PuTTY için Kayıt Defteri Düzenleyicisi’nde bu değer.

Telnet’i Kapatmak: Önce SSH, Sonra Telnet

SSH açık ve switch’in kimliği doğrulandı. Sıra eski hattı kesmeye geldi. Telnet’i kapatan satır tektir:

configure
ip telnet server disable
exit

Bu komutun ne zaman etkili olduğu sahada az bilinir. Beklenen, komutun yalnız yeni bağlantıları engellemesi ve açık oturuma dokunmamasıdır. Bunu sınamak için Telnet’i geçici olarak açtım, switch’e Telnet ile girdim ve aynı oturumun içinden Telnet’i kapattım:

gmsw01#show users
User Name        Protocol   Location                Profile(s)
---------------- ---------- ----------------------- ----------
deneme-telnet    Telnet     192.168.10.15
...
gmsw01#configure
gmsw01(config)#ip telnet server disable
gmsw01(config)#
*** CONNECTION CLOSED BY ADMIN ***
Connection closed by foreign host.

Komut yazıldığı anda switch açık Telnet oturumunu da kesti. Telnet ile yönetilen bir switch’te bu komutu Telnet oturumundan yazan yönetici, kendi bağlantısını koparır. SSH o sırada çalışmıyorsa switch’e dönüşün tek yolu konsoldur.

Sıra bu yüzden tersine çevrilemez. Önce SSH ile girilir, SSH’ın çalıştığı görülür ve Telnet o SSH oturumundan kapatılır. Hesap parolası Telnet’te düz metin gittiği için bu geçişi Telnet’in kendisi üzerinden yapmak zaten istenmez. Telnet’i kapatamadığınız durumlar için ne yapılacağını Telnet nedir yazımızda anlattık.

Şube benzetmesinde bu, paralel hattan konuşurken o hattın iptalini istemektir. İptal hemen işler ve konuşma yarıda kesilir.

Web Arayüzünü Kapatmak: HTTP Parolayı Düz Metin Taşır

Telnet kapandı. Unutulan hat web arayüzüdür. Switch’in web arayüzü düz HTTP ile açıksa giriş parolası ağa düz metin gider. Bunu genel bir kural olarak bırakmadım, lab switch’imin kendi giriş sayfasında ölçtüm. HTTP’yi geçici olarak açtım, giriş sayfasının formunu inceledim ve bir test hesabıyla giriş yaparken aynı ağ kesimindeki bir makinede paket yakaladım:

$ sudo tcpdump -i ens33 -n -A -s0 'host 192.168.10.2 and tcp port 80 and (tcp[tcpflags] & tcp-push != 0)'
... IP 192.168.10.15.51660 > 192.168.10.2.80: Flags [P.], ... length 229: HTTP: POST /..._login.html HTTP/1.1
...
err_flag=0&err_msg=&submit_flag=1&uname=deneme-telnet&pwd=Deneme2026x

Kullanıcı adı uname, parola pwd alanında okunur hâlde duruyor. Giriş sayfasının koduna da baktım. Form parolayı gönderirken hiçbir dönüşüm uygulamıyor, yani bir tarayıcı da bunu aynen gönderir. Giriş kabul edildi; switch’te show users çıktısında test hesabı HTTP protokolüyle göründü. Yakalamada kullandığım hesap geçiciydi ve ölçümden sonra silindi.

Aynı ağ kesimini dinleyebilen herkes bu satırı görür. Düz metin bir girişin paket dökümünde nasıl durduğunu ve “iç ağdayız, sorun olmaz” düşüncesinin neden tutmadığını HTTP ve HTTPS yazımızda ayrıntılı gösterdik. Web arayüzünü kapatan satır da tektir:

configure
no ip http server
exit

HTTPS Açık Kalsın mı? Önce Sertifikaya Bakın

HTTPS parolayı şifreler, ama açık bırakmadan önce switch’in sunduğu sertifikaya bakmak gerekir. Lab switch’imin sertifikası şuydu:

gmsw01#show ip http server secure status
HTTPS Server is Disabled.  Port :  443
...
Issued by: self-signed
Valid from Aug 19 15:47:58 2025 GMT... to Aug 19 15:47:58 2026 GMT...
Subject: /CN=0.0.0.0
...

Sertifika kendinden imzalı, adı bir adres bile değil (CN=0.0.0.0) ve ölçüm günü süresi dolmuştu. Bu switch’te HTTPS açılsa, tarayıcı her girişte uyarı verirdi. Her girişte uyarıyı geçmeye alışan bir yönetici, bir gün gerçekten sahte bir sayfanın uyarısını da geçer. Sertifika uyarısının neyi söyleyip neyi söylemediğini HTTP ve HTTPS yazımızda anlattık.

Karar iki yoldan biridir. Web arayüzü kullanılıyorsa sertifika kurumun kendi sertifika otoritesinden yenilenir ve erişim yönetim ağıyla sınırlanır. Kimse kullanmıyorsa HTTPS de kapatılır; lab switch’imde yaptığım budur, çünkü onu yalnız SSH ile yönetiyorum.

Switch SSH Yapılandırmasını Doğrulamak: Dışarıdan Port Taraması

Üç kapıyı ayarladım. show komutları switch’in kendisi hakkında söylediğini gösterir; kapının gerçekten kapandığını ise switch’e değil, dışarıdan bakan bir makineye sormak gerekir. Aynı ağ kesimindeki bir Linux sunucusundan, Telnet ve HTTP geçici olarak açıkken ve kapattıktan sonra, aynı taramayı yaptım:

$ sudo nmap -Pn -sT -p 22,23,80,443 192.168.10.2

Kapattıktan sonra yalnız 22 açık kaldı. Telnet bağlantısı Connection refused ile reddedildi, HTTP isteği de bağlantı kuramadı. Bu çıktıda bakılacak şey closed ile filtered ayrımıdır. closed switch’in bağlantıyı kendisinin reddettiğini, yani servisin gerçekten kapalı olduğunu gösterir. filtered görseydiniz arada bir güvenlik duvarı cevabı yutuyordur ve servisin switch’te açık olup olmadığını bu tarama söylemez. Port kavramını ve bir bağlantının neden reddedildiğini port nedir yazımızda anlattık.

Benzetme burada kopuyor. Markette bir telefon hattını iptal ettirmek, şubedeki cihazın sökülmesi gibi görünür bir iştir. Switch’te kapatılan servis dışarıdan hiçbir iz bırakmaz; switch “kapalı” dese de bunu ancak başka bir makineden kapıyı çalarak doğrularsınız.

Ayar şu anda çalışan yapılandırmada duruyor. Kalıcı olması için kaydetmeniz gerekir; çalışan ve kalıcı yapılandırmanın farkını yönetilebilir switch ayarları yazımızda anlattık. Yönetim erişimini yalnız belirli adreslere daraltmayı rehberin 8. adımında, switch ACL yapılandırması yazımızda anlattık.

Switch SSH Yapılandırmasında Sık Yapılan Hatalar

Doğrulama beklediğiniz gibi çıkmadıysa ya da switch’e erişimi kaybettiyseniz önce şunlara bakın:

• Telnet’i Telnet oturumundan kapatmak. Lab switch’imde komut yazıldığı anda oturumu kesti. Telnet’i SSH oturumundan kapatın.
• SSH’ı doğrulamadan Telnet’i kapatmak. SSH çalışmıyorsa switch’e dönüş yolu konsola kalır. Önce SSH ile girin, sonra kapatın.
• Web arayüzünü unutmak. Telnet kapalı bir switch’te düz HTTP açık kalabilir ve parolayı aynı biçimde düz metin taşır. Ayrı bir komutla kapanır.
• SSH’ın 1. sürümünü açık bırakmak. Servisi açmak, hangi sürümün kabul edildiğini sınırlamaz. ip ssh protocol 2 ayrıca yazılır.
• Parmak izi sorusuna bakmadan “evet” demek. İstemci SHA256 gösterir, switch başka bir biçim gösterebilir (lab switch’imde MD5). Karşılaştırmadan önce ikisini aynı biçime getirin; bunu ssh-keygen -E md5 de yapar, switch ekranındaki anahtarı okuyan ssh-keygen -lf de.
• Anahtarı plansız yeniden üretmek. Parmak izi değişir; yedek betikleri ve kayıtlı istemciler bağlanmayı reddeder.
• Süresi dolmuş sertifikayla HTTPS’i açık bırakmak. Yöneticiyi her girişte uyarıyı geçmeye alıştırır.
• Kapıları yalnız switch’e sormak. show komutu ayarı gösterir; kapının kapalı olduğunu dışarıdan port taraması gösterir.
• Kaydetmemek. Ayar yalnız çalışan yapılandırmada kalırsa switch ilk yeniden başlatmada eski kapılarla açılır.

Sonuç: Kapı Switch’te Kapanır, Dışarıdan Doğrulanır

Switch’te SSH’ı açıp Telnet ve HTTP’yi kapatmak birkaç satırlık bir iştir; zor olan sırası ve doğrulamasıdır. Lab switch’imde Telnet, kendi oturumunun içinden kapatıldığı anda o oturumu kesti ve düz HTTP’deki giriş parolası paket yakalamada okunur hâlde göründü. Hangi kapıların açık kaldığını da ancak başka bir makineden yapılan tarama kesin gösterdi.

Şubenin yeni hattı kurulduktan sonra eski paralel hat ve unutulan ikinci hat iptal edilir. Son olarak merkez şubeyi dışarıdan arayıp hangi hatların hâlâ çaldığını dener.

Sıradaki adım yönetici girişini merkezi bir sunucuya bağlamaktır; bunu switch TACACS+ yapılandırması yazımızda anlattık, sıralamanın tamamı switch yapılandırma rehberimizde duruyor. Uzaktan yönetimin bir kurumsal ağ projesinde nereye oturduğunu Kurumsal Network Kurulumu sayfamızda anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn