Ciscoルータの初期設定【各種パスワード / IPアドレスの設定】

CCNAの試験に向けて学習中。
復習に見返せるようにメモしていきます。
ほぼ自分の勉強メモです。
過度な期待はしないでください。

前回投稿記事

こちらのCiscoルータの初期設定【操作の基本】投稿記事の続きです。

1. Ciscoルータの基本設定

3-1.ホスト名の設定

ホスト名とは、機器に設定出来る名前の事です。Cisco製品のルータにはデフォルトで
Routerという名前が付けられています。

ホスト名を変更するには、グローバルコンフィグレーションモードで
次の hostnameコマンドを実行します。

Router(config)# hostname <ホスト名>

ホスト名を付ける際の注意点

• 63文字以下
• 英語で始まり、英語または数字で終わる
• 先頭と最後の文字の間には英語、数字、ハイフンのみ使用可能

■設定例

Router(config)# hostname IP-01
IP-01(config)#  // 元々Routerというホスト名だったのがIP-01というホスト名に変更された

■ 設定の削除

hostnameコマンドに限らず、全ての設定コマンドに置いて、入力した設定を削除するには、
コマンドの前に ”no”を付けて同じコマンドを実行します。
ただし、設定した時と同じモードで実行しなければエラーとなってしまうので注意が必要です。

IP-01＃no hostname  // モードが異なる為エラー

% Invalid input detected at '^' marker.

IP-01＃conf t  // ”configure terminal”の略
IP-01(config)#no hostname  // 削除コマンド
Router(config)#  // ホスト名がデフォルトのRouterに戻る

■ 設定したホスト名の変更

一度設定した後に異なるホスト名に変更したい場合は、設定を削除しなくても同じ
コマンドを実行する事で上書きされます。

Router(config)#hostname IP-01
IP-01(config)#hostname IP-02
IP-02(config)# // 名前が上書きされて、IP-02に変更された

3-2.各種パスワードの設定

■ 3-2-1.セキュリティの必要性

セキュリティの強度を高める為に、パスワードを設定しておく事が一般的です。
なので、3つのパスワード、
コンソールパスワード、イネーブルパスワード、VTYパスワード
を設定します。

■ 3-2-2.コンソールパスワード設定

① ラインコンフィグレーションモードに移行する
ラインコンフィグレーションモードに移行するには、グローバルコンフィグレーションモードで
次の line console 0コマンドを実行します。

(config)# line console 0
(config-line)#

Consoleポートは機器に1つしかなく、また0番から数える為、0を指定します。
0以外を指定する事は出来ません。

② パスワードを設定する
パスワードを設定するには、ラインコンフィグレーションモードで、
次の passwordコマンドを実行します。

(config-line)# password <パスワード>

③ 認証を有効化 パスワードの認証を有効化するには、ラインコンフィグレーションモードで、 次の loginコマンドを実行します。

(config-line)# login

loginコマンドを実行しないと、パスワードを設定したとしても、パスワードを問われずに
ログイン出来てしまう危険性があるので注意が必要です。

⚫️ コンソールパスワード設定例

Router(config)#line console 0       // ラインコンフィグレーションモードに移行
Router(config-line)#password cisco  // パスワードの設定
Router(config-line)#login           // パスワードの認証を有効化
Router(config-line)#exit            // 1つ前のモードに戻る
Router(config)#                     // グローバルコンフィグレーションモードに戻った

■ 3-2-3.イネーブルパスワード設定

ユーザEXECモードから特権EXECモードに移行する際に設定するパスワード。
イネーブルパスワードを設定するには、グローバルコンフィグレーションモードで、
次の enable passwordコマンドを実行します。

(config)# enable password <パスワード>

■ 3-2-4.VTYパスワード設定

VTYパスワードを設定するには、グローバルコンフィグレーションモードで、
次の line vty コマンドを実行します。

(config)# line vty <開始ライン番号> [<終了ライン番号>]

終了ライン番号を省略すると、開始ライン番号で指定したVTYポートのみに設定を行い
ラインコンフィグレーションモードに移行します。

VTYポートとは、仮想端末ポートとも呼ばれ、ルータの機器の内部に用意されている仮想的な
ポートです。VTY接続では、Ethernetポートなどの通信を行うポートから機器内部のVTYポートを
経由して接続されます。

⚫️ VTYパスワード設定例
コンソールパスワード設定とほぼ同様のやり方。

Router(config)#line vty 0 4          // VTY0~4ポートの設定をまとめて行っています
Router(config-line)#password cisco   // パスワードの設定
Router(config-line)#login            // パスワードの認証を有効化
Router(config-line)#exit             // 1つ前のモードに戻る
Router(config)#                      // グローバルコンフィグレーションモードに戻った

⚫️ VTYパスワード設定されていなかった場合
VTYパスワード設定されていなかった場合、VTY接続で接続出来ません。

Password required, but none set

もし上記のような表示がされた場合、接続先の機器にパスワードの設定をしなければならない。

■ 3-2-5.show running-configによるパスワードの設定の確認

設定したパスワードのスペルミスがないか、loginコマンドを実行し忘れていないかといった
設定が正しく出来ているかを確認する為、パスワードの設定が一通り終了したら特権EXECモードで
show running-configコマンドを実行します。
※詳しい画像などはこちら記事を参照

■ 3-2-6.ローカル認証の設定

ローカル認証とは、パスワードだけでなく、ユーザー名も必要な設定方法。
ローカル認証では、ログインする機器にユーザーとそのパスワードを設定する必要があります。
手順は以下の通りになります。

① ユーザーアカウントの作成
ユーザーアカウントを作成するには、グローバルコンフィグレーションモードで、
次の usernameコマンドを実行します。

(config)# username <ユーザー名> [privilege <特権レベル>] password <パスワード>

＜特権レベル＞には、ユーザーの特権レベルを指定します。
0 ~ 15 が指定でき、設定されたレベル以下のコマンドしか実行できなくなります。

privilegeを指定せずに作成したユーザーでログインするとユーザEXECモードから始まり、
実行出来るコマンドは1以下に設定されているコマンドになります。
特権レベル15は、特権EXECモードとなり、全てのコマンドが実行出来ます。
この場合、ログイン後、ユーザEXECモードを経由する事なく特権EXECモードから始ります。
　
② ラインコンフィグレーションモードに移行する

// コンソール接続の場合
(config)# line console 0
// VTY接続の場合
(config)# line vty <開始ライン番号> [<終了ライン番号>]

　
③ 作成したユーザーアカウントの使用を指定
作成したユーザーアカウントの使用してログインの認証をするには、設定したいラインの
ラインコンフィグレーションモードで、login localコマンドを実行します。

(config-line)# login local 

　
⚫️ ローカル認証の設定例

Router(config)#username user01 password pass01               // ユーザーアカウント01作成
Router(config)#username user02 privilege 15 password pass02  // ユーザーアカウント02作成
(config)#line console 0                                      // ラインコンフィグレーションモードに移行
Router(config-line)#login local                              // パスワードの認証を有効化

設定した内容は、show running-configにより確認出来ます。
確認した際に、パスワードに前に「0」という数字が表示されますが、これは暗号化されて
いないパスワードである事を示しています。

#### 3-3.パスワードの暗号化

show running-configコマンドを実行すると、設定したパスワードがそのまま表示されます。
これでは、設定ファイルを開かれたり、操作中の画面を見られたりすると、パスワードが分かって
しまいます。その為、文字列を判別出来ないように暗号化します。

■ 3-3-1.イネーブルパスワードの暗号化

イネーブルパスワードの暗号化するには、グローバルコンフィグレーションモードで、
enable secretコマンドを実行します。

(config)# enable secret <パスワード>

enable secretコマンド と enable passwordコマンド両方でパスワード設定した場合、
enable secretコマンドで設定されたパスワードが優先されます。

　

■ 3-3-2.パスワード全般の暗号化

パスワード全般の暗号化は、グローバルコンフィグレーションモードで、
次の service password-encryptionコマンドを実行します。

(config)# service password-encryption

このコマンドは、enable passwordコマンド、passwordコマンド、usernameコマンドで設定した
パスワードを暗号化します。
設定済みのパスワードだけでなく、今後設定するパスワードも暗号化されて保存されます。
ただし、イネーブルパスワードは、enable secretコマンドを実行した方が暗号化の強度が
強くなります。

また、次のコマンドを実行すると暗号化が無効になり、以降設定されるパスワードは
暗号化されません。既に暗号化されて保存されたパスワードは元には戻りません。

(config)# no service password-encryption

■ 3-3-3.自動ログアウトの設定

自動ログアウトの時間を設定するには、ラインコンフィグレーションモードで、
次の exec-timeoutコマンドを実行します。

(config-line)# exec-timeout <分> [<秒>]

＜秒＞は省略可能で、省略すると0が自動的に設定されます。
また、＜分＞に0を指定すると自動ログアウトが無効になります。
しかし、セキュリティの強度を下げる事になるので推奨されてません。

3-4.SSHの設定

TELNETでアクセスしたい場合、VTY接続の設定をするだけでログイン可能でしたが、
SSHでログインする場合は次の手順で行います。

SSHは、TELNET同様遠隔地にあるサーバやルーター等を端末から遠隔操作する
通信プロトコルですが、入力したデータを暗号化して送信するという点で異なる。

① ホスト名を設定する

ホスト名をの設定は、グローバルコンフィグレーションモードでhostnameコマンドを実行します。
デフォルトホスト名であるRouterでは、この後で行うRSA暗号鍵を生成する事が出来ませんので
あらかじめ変更しておく必要があります。

Router(config)# hostname <ホスト名>

② ドメイン名を設定する

ドメイン名を設定するには、グローバルコンフィグレーションモードで、
次の ip domain-nameコマンドを実行します。
ドメイン名は、この後で行うRSA暗号鍵を生成する必要になります。

(config)# ip domain-name <ドメイン名>

③ RSA暗号鍵を生成する

RSA暗号鍵とは、公開鍵暗号化方式の1つであるRSAで使用される鍵の事。
SSHで使用するRSA暗号鍵を設定するには、グローバルコンフィグレーションモードで、
次の crypto key generate rsaコマンドを実行します。
ホスト名がデフォルトのRouterであったり、ドメイン名が設定されていない場合、
このコマンドは実行されません。

(config)# crypto key generate rsa

RSAとは、公開鍵暗号方式で使われる代表的な暗号アルゴリズム

④ ユーザーアカウントを作成する

ユーザーアカウントを作成するには、グローバルコンフィグレーションモードで、
次の usernameコマンドを実行します。SSH接続ログインする際に使用します。

(config)#username <ユーザー名> [privilege <特権レベル>] password <パスワード>

##### ⑤ ローカル認証を設定する 作成したユーザーアカウントの使用してログインの認証をするには、login localコマンド を実行します。SSH接続では、VTYパスワードを用いた方法ではログイン出来ない為、 ローカル認証を用いる必要があります。

// コンソール接続の場合
(config)# line console 0
// VTY接続の場合
(config)# line vty <開始ライン番号> [<終了ライン番号>]

(config-line)# login local 

⑥ SSHの接続許可を設定する

SSHの接続許可を設定するには、ラインコンフィグレーションモードで、
次のtransport inputコマンドを実行します。

(config-line)# transport input < ssh | telnet | all | none >

• telnetを指定すると、TELNET接続のみログイン可能
• sshを指定すると、SSH接続のみログイン可能
• allを指定すると、両方の接続が可能
• noneを指定すると、VTY接続そのものを禁止する

セキュリティ強度を高めるには、sshを指定してSSH接続のみ許可すると良い。

⑦ SSHのバージョンを設定する

SSHのバージョンを設定するには、グローバルコンフィグレーションモードで、
次の ip ssh versionコマンドを実行します。

(config)# ip ssh version < 1 | 2 >

SSHには、バージョン1とバージョン2という2つのバージョンがあります。
1を指定すると、バージョン1・2両方での接続を許可し、2を指定するとバージョン2での
接続のみ許可します。
デフォルトでは、両方での接続の許可をしている為、セキュリティ強度を高めるには、
バージョン2を指定すると良い。

⚫️ SSHの設定例

Router(config)#enable password pass                            // イネーブルパスワードの設定
Router(config)#hostname RouterA1                               // ホスト名 RouterA1を設定
RouterA1(config)#ip domain-name cisco.jp                       // ドメイン名 cisco.jpを設定
RouterA1(config)#crypto key generate rsa                       // RSA暗号鍵を生成
RouterA1(config)#username user01 privilege 15 password pass01  // パスワードの認証を有効化
RouterA1(config)#line vty 0 4                                  // ラインコンフィグレーションモードに移行
RouterA1(config-line)#login local                              // パスワードの認証を有効化
RouterA1(config-line)#exit                                     // 1つ前のモードに戻る
RouterA1(config)#transport input ssh                           // SSHの接続許可を設定
RouterA1(config)#ip ssh version 2                              // SSHのバージョンを設定

3-5.IPアドレスの設定

■ IPアドレスの設定手順

① 設定対象のインターフェイスのインターフェイスコンフィグレーションモードに移行する

IPを設定するには、設定しようとしているインターフェイスの
インターフェイスコンフィグレーションモードに移行します。
インターフェイスコンフィグレーションモードに移行するには、
グローバルコンフィグレーションモードで、次の interfaceコマンドを実行します。

(config)#interface <タイプ> <ポート番号>

＜タイプ＞には、機器のインターフェイスによって下記のいずれかを指定します。

タイプ	説明
Ethernet	通信速度が、10Mbpsのインターフェイス
fastEthernet	通信速度が、100Mbpsのインターフェイス
Gigabit Ethernet	通信速度が、1Gbpsのインターフェイス
Loopback	自分自身を表す仮想的なインターフェイス

＜ポート番号＞には、インターフェイスの番号を指定します。
番号は、０や１といった数字を指定するものや、「0/0」といった
「スロット番号/インターフェイス番号」という形で指定するものあります。

② IPアドレスを設定

IPアドレスを設定するには、インターフェイスコンフィグレーションモードで、
次の ip addressコマンドを実行します。

(config-if)# ip address <IPアドレス> <サブネットマスク>

＜サブネットマスク＞は、255.255.255.0のような10進数表記で指定します。
プレフィックス長表記ではエラーになってしまう為注意。
また、ネットワークアドレスやブロードキャストアドレスのような設定出来ないIPアドレスや
誤ったサブネットマスクを指定するとエラーになってしまいます。

③ インターフェイスを有効にする

インターフェイスを有効にするには、インターフェイスコンフィグレーションモードで、
次の no shutdownコマンドを実行します。

(config-if)# no shutdown

ルーターのインターフェイスは、デフォルトでは有効になっておらず通信を行う事が出来ません。
なので、IPアドレスを設定し、ケーブルに接続しても有効にはなりません。
その為、使用するインターフェースを有効化するために、該当インターフェースを指定した上で
no shutdownコマンドを使用します。

■ IPアドレスの設定例

(config)#interface fastEthernet 0/0
(config-if)#ip address 193.168.1.0 255.255.255.0
(config-if)#no shutdown