Switch'te Yerel Yönetici Hesabı: Kullanıcı, Yetki ve Parola

Switch’te yerel yönetici hesabı, merkezi bir kimlik sunucusuna sormadan, doğrudan switch’in kendi kullanıcı listesinden doğrulanan yönetim hesabıdır. Her switch’te en az bir tane bulunur ve merkezi giriş kurulduktan sonra bile yedek giriş yolu olarak kalır. Bu yazıda lab switch’imde kişiye ait hesaplar açtım, yetki seviyelerini sınadım ve parolaların nasıl saklandığını, parola kurallarının gerçekten işleyip işlemediğini ve hatalı girişte hesabın kilitlenmesini ölçtüm.

Bir süpermarket şubesinde her kasiyerin kasaya girerken kullandığı kendi kodu vardır. Kod kişiye aittir; gün sonunda hangi fişi kimin kestiği bu yüzden bellidir. Bütün kasiyerlerin tek bir ortak kod kullandığı bir şubede ise kasadaki eksikliğin kimin vardiyasında olduğu hiçbir zaman bulunamaz. Switch’in yerel yönetici hesabı da kasiyerin kodudur.

Bu yazı switch yapılandırma rehberimizin ikinci adımını ayrıntılandırır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı kodun şubede değil genel müdürlükte doğrulandığı merkezi girişi switch TACACS+ yapılandırması yazımızda anlattık.

Switch’te Yerel Yönetici Hesabı Nasıl Açılır?

İşe switch’te hangi hesapların olduğuna bakarak başladım.

Switch’teki hesapları show users accounts listeler:

gmsw01#show users accounts
 UserName                 Privilege  Password       Password         Lockout
                                      Aging         Expiry date
------------------------  ---------  --------  --------------------  --------
ilker                     15         ---       ---                   False
   Administrative Profile(s):
yedekci                   15         ---       ---                   False
   Administrative Profile(s):

İki hesap var: benim yönetici hesabım ve gece yedeğini alan betiğin hesabı. İkisi de en yüksek yetki seviyesinde, 15’te.

Yeni bir hesap tek satırla açılır. Satırın üç parçası var: hesabın adı, parolası ve yetki seviyesi:

configure
username deneme-yonetici password <parola> privilege 15
username deneme-okur password <parola> privilege 1
exit

Hesap açarken iki kurala takıldım. Adında nokta olan bir hesap reddedildi:

gmsw01(config)#username deneme.nokta password ... privilege 15
Error: Characters in the user name must be alphanumeric and can contain dashes or underscores.

ad.soyad biçimini kullanan bir kurumda switch hesapları ad-soyad ya da ad_soyad olarak açılmalı. Beş karakterlik bir parola da reddedildi:

gmsw01(config)#username deneme-yonetici password Kisa1 privilege 15
Could not set user password!
Password should be in range of 8-64 characters in length
or set minimum password length to 0 by using 'no passwords min-length' command.

Hata mesajının ikinci yarısına dikkat edin: switch, kısa parolayı kabul ettirmenin yolu olarak en küçük parola uzunluğunu sıfıra indirmeyi öneriyor. Bu öneri uygulanmamalı. Doğru çözüm parolayı uzatmaktır.

Switch’te Yetki Seviyesi: 1 ile 15 Arasındaki Fark

privilege değeri hesabın switch’e girdikten sonra ne yapabileceğini belirler. Bu switch’te privilege verilmeden açılan hesap 1. seviyede açılıyor. 1. seviyedeki deneme hesabıyla giriş yaptım:

gmsw01>show users accounts
             ^
% Invalid input detected at '^' marker.
gmsw01>show running-config
             ^
% Invalid input detected at '^' marker.
gmsw01>configure
       ^
% Invalid input detected at '^' marker.

Hesap > isteminde kaldı: hesap listesini ve yapılandırmayı göremedi, yapılandırma moduna giremedi. Ama her şey kapalı değildi. ping çalıştı ve show version cihaz hakkında epey şey söyledi:

gmsw01>show version
...
unit active      backup      current-active next-active
---- ----------- ----------- -------------- --------------
1    6.2.6.6     6.2.6.6     6.2.6.6        6.2.6.6

Kısalttığım kısımda cihazın modeli, seri numarası ve MAC adresi yazıyordu; alttaki satır da yazılım sürümünü veriyor. En düşük yetkideki bir hesap bile hangi cihazın, hangi sürümle çalıştığını öğrenebiliyor. 1. seviye yönetemez ama keşif yapabilir; bu yüzden “nasılsa yalnız bakabiliyor” diye kimseye verilmemeli.

1. seviyeden 15. seviyeye enable komutuyla geçilir ve bu geçişi korumanın yolu bir enable parolası tanımlamaktır. Enable parolası tanımlı değilken 1. seviyedeki bir hesabın parola sorulmadan en yüksek yetkiye çıktığını switch yapılandırma yedeği yazısında, parola tanımlandıktan sonra bunun durduğunu switch sıkılaştırma yazısında ölçtüm. Kasada da kasiyerin kodu satış yapmaya yeter; iade yapmak için müdürün onayı gerekir.

Switch Parolaları Nasıl Saklanır? Salt Eklenmemiş MD5

Açtığım iki deneme hesabına bilerek aynı parolayı verdim ve yapılandırmada nasıl göründüklerine baktım:

gmsw01#show running-config | include username
...
username "deneme-yonetici" password 28ec8283...b5ec privilege 15 encrypted
username "deneme-okur" password 28ec8283...b5ec privilege 1 encrypted

İki satırın değeri birebir aynı (burada ortasını kısalttım). Satırın sonundaki encrypted kelimesi parolanın şifrelendiğini düşündürüyor, ama iki farklı hesapta aynı değerin çıkması, saklamada hesaba özgü rastgele bir değer (salt) kullanılmadığını gösteriyor. Aynı parolanın MD5 hash’ini kendi bilgisayarımda hesapladım:

$ node -e 'const c=require("crypto");for(const p of ["<parola>"]) console.log(p, c.createHash("md5").update(p).digest("hex"))'
<parola> 28ec8283...b5ec

Sonuç, switch’in sakladığı değerle birebir aynıydı. Yani bu switch parolaları salt eklenmemiş MD5 hash’i olarak saklıyor. İki sonucu var. Birincisi, yapılandırma dosyasını gören biri hangi hesapların aynı parolayı kullandığını tek bakışta görür. İkincisi, salt eklenmemiş MD5 bilinen parola listeleriyle çevrimdışı denenebilen bir özettir. Kasa kodları deftere olduğu gibi yazılmasa da, aynı kodu seçen iki kasiyerin satırı defterde aynı görünür.

Bu yüzden switch’in yapılandırma yedekleri gizli belge gibi saklanmalı. Yedeğin nasıl alınıp korunacağını switch yapılandırma yedeği yazımızda anlattık.

Switch Password Policy: Uzunluk ve Karmaşıklık Denetimi

Kısa parolayı reddeden kural en küçük uzunluktu. Switch bir de karmaşıklık denetimi sunuyor. Denetimi açtım ve ayarlara baktım:

configure
passwords strength-check
exit

gmsw01#show passwords configuration
...
Password Strength Check........................ Enable
Minimum Password Uppercase Letters............. 1
Minimum Password Lowercase Letters............. 1
Minimum Password Numeric Characters............ 1
Minimum Password Special Characters............ 1
...
Minimum Password Character Classes............. 0

Ekrana göre denetim açık ve parola en az bir büyük harf, bir küçük harf, bir rakam ve bir özel karakter içermeli. Yeni bir deneme hesabına bu kuralların hiçbirine uymayan abcdefgh parolasını verdim. Switch hata vermedi, hesap açıldı ve o parolayla giriş yapabildim. Yapılandırmadaki değer de abcdefgh’nin MD5 özetiydi.

Denetimi fiilen çalıştıran ayar, listenin sonundaki karakter sınıfı sayısı çıktı. Onu dörde ayarlayıp aynı parolayı yeniden denedim:

gmsw01(config)#passwords strength minimum character-classes 4
gmsw01(config)#username deneme-zayif3 password abcdefgh privilege 1
Could not set user password!
Password should contain at least 4 character classes.
gmsw01(config)#username deneme-zayif3 password Abcdef1! privilege 1
gmsw01(config)#

Bu kez zayıf parola reddedildi, dört sınıfı da içeren parola kabul edildi. Ders, switch’e özgü bir ayrıntıdan büyük: bir güvenlik ayarının ekranda “Enable” görünmesi, onun işlediğini kanıtlamaz. Ayarı açtıktan sonra zayıf bir parolayla sınayın; reddedilmiyorsa ayar işinizi görmüyordur.

Switch’te Hatalı Girişte Hesap Kilitleme

Parola ne kadar güçlü olursa olsun, sınırsız deneme hakkı tanıyan bir hesap zamanla tahmin edilebilir. Kilitleme, belirli sayıda hatalı girişten sonra hesabı durdurur. Lab switch’imde bu özellik kapalıydı. Üç denemeye ayarladım ve yalnız 1. seviyedeki deneme hesabına üç kez yanlış parola girdim. Yönetici hesabıma hiç yanlış parola girmedim ve deney boyunca ayrı bir yönetici oturumunu açık tuttum.

configure
passwords lock-out 3
exit

Üç yanlış denemenin her biri reddedildi. Dördüncü denemede doğru parolayı girdim:

Using username "deneme-okur".
...
Access denied
FATAL ERROR: Configured password was not accepted

Doğru parola da reddedildi. Hesap listesinde Lockout sütunu yalnız o hesap için değişmişti:

deneme-okur               1          ---       ---                   True

Switch’in kendi günlüğü sırayı ayrıntısıyla yazıyordu (en yeni satır en üstte):

<190> Sep 23 18:58:34 gmsw01-1 USER_MGR[tRpcsrv.01000]: user_mgr.c(1793) 18423 %% User deneme-okur Failed to login because of authentication failures
...
<189> Sep 23 18:58:32 gmsw01-1 TRAPMGR[tRpcsrv.01000]: traputil.c(777) 18418 %% Local User Locked out: User ID: deneme-okur
<188> Sep 23 18:58:32 gmsw01-1 USER_MGR[tRpcsrv.01000]: user_mgr.c(2233) 18417 %% User deneme-okur locked out on authentication failure
...
<190> Sep 23 18:58:27 gmsw01-1 USER_MGR[tRpcsrv.01000]: user_mgr.c(1793) 18409 %% User deneme-okur Failed to login because of authentication failures

Kilidi yönetici hesabımla username deneme-okur unlock komutuyla açtım ve hesap doğru parolayla yeniden girebildi.

Kilitlemenin bedeli de burada görünüyor. Kural yalnız deneme hesaplarına değil, yönetici hesabına da uygulanır. Yönetici hesabını ben kilitletmedim, ama switch’te tek bir yönetici hesabı varsa ve o kilitlenirse, kilidi açacak kimse içeride kalmaz. Markette kodunu unutan kasiyere müdür yenisini verir; switch’te kilitlenen tek yönetici hesabının müdürü yoktur. Benzetmenin koptuğu yer burası.

Bu yüzden kilitlemeden önce bir yedek yol hazırlanmalı: ikinci bir yönetici hesabı, çalışan bir konsol bağlantısı ya da çalışan bir merkezi giriş. Lab switch’imde konsol kablosu bağlı olmadığı için kilitlemeyi kalıcı açmadım; bu gerekçeyi switch sıkılaştırma yazısında da not etmiştim.

Kişiye Ait Hesabın Değeri: Günlükte Kim Ne Yaptı?

Yukarıdaki günlük satırlarının hepsi bir hesap adı taşıyor. Aynı günlükte deneme hesabını açtığım an da duruyordu:

<190> Sep 23 18:55:05 gmsw01-1 CLI_WEB[emWeb]: cmd_logger_api.c(260) 18180 %% [CLI:ilker:192.168.1.115] Access level of user deneme-okur has been set to 1
<190> Sep 23 18:55:05 gmsw01-1 CLI_WEB[emWeb]: cmd_logger_api.c(260) 18179 %% [CLI:ilker:192.168.1.115] New user deneme-okur has been added

Satırın başındaki [CLI:ilker:192.168.1.115], hesabı kimin hangi adresten açtığını söylüyor. Switch başarılı girişleri de ayrıca listeliyor:

gmsw01#show users login-history
Login Time                       Username             Protocol  Location
-------------------------------- -------------------- --------- ---------------
18:54:32 (UTC+0:00) Sep 23 2026  ilker                SSH       192.168.1.115
...
16:09:46 (UTC+0:00) Sep 23 2026  yedekci              SSH       192.168.1.46

Bu kayıtların değeri, hesap adının bir kişiye ya da bir işe ait olmasına bağlıdır. Herkes aynı admin hesabını kullanıyorsa bütün satırlarda aynı ad görünür ve “bu ayarı kim değiştirdi?” sorusunun cevabı yalnız bir adres olur. Yedek betiğinin ayrı bir hesabı olduğu için günlükte onun girişleri benimkilerden ayrılıyor. Bu satırların switch’in belleğinde değil de merkezi bir yerde tutulmasını Linux syslog sunucusu kurulumu yazımızda anlattık.

Switch Yerel Hesaplarında Sık Yapılan Hatalar

• Herkese tek bir admin hesabı. Günlük satırları kimseyi göstermez, parola işten ayrılanla birlikte gider.
• “Yalnız bakabilsin” diye 1. seviye hesap dağıtmak. 1. seviye yapılandırmayı göremese de cihazın modelini ve yazılım sürümünü görür.
• Enable parolası tanımlamamak. 1. seviye hesap ile 15. seviye arasındaki sınır ancak enable parolasıyla vardır.
• Karmaşıklık denetimini açıp sınamamak. Lab’da denetim “Enable” görünürken abcdefgh kabul edildi.
• Yedek yol hazırlamadan kilitlemeyi açmak. Tek yönetici hesabı kilitlenirse cihaza giriş kapanabilir.
• Yapılandırma yedeğini sıradan dosya gibi saklamak. Dosya, parolaların salt eklenmemiş hash’lerini taşır.

Sonuç: Yerel Hesap Kişiye Ait, Yetki İşe Göre Verilir

Switch’te yerel yönetici hesabı kişiye ait açılır, yetki seviyesi işe göre verilir ve parola kuralları açıldıktan sonra sınanır. Lab switch’imde üç şey beklediğimden farklı çıktı: 1. seviye hesap cihazın sürümünü görebiliyordu, parolalar salt eklenmemiş MD5 olarak saklanıyordu ve karmaşıklık denetimi ekranda açık görünürken zayıf parolayı kabul ediyordu. Kilitleme ise çalıştı; ama kilitlenecek tek yönetici hesabının yedeği olmadan açılmamalı.

Kasiyerin kodu kendisine aittir, iade müdürün onayını ister ve kasa defteri kimin ne yaptığını gösterir. Switch’in yerel hesapları da aynı düzeni kurar. Bir switch’i ilk bağlantıdan üretime götüren sıra switch yapılandırma rehberimizde duruyor.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn