Qual comando bloqueia as tentativas de login no router por um período de 30 segundos se 2 tentativas de login falharem em 10 segundos?

Junos OS permite que você defina várias configurações para os usuários quando eles fazem login em um dispositivo. Você (o administrador do sistema) pode configurar:

• Mensagens ou anúncios a serem exibidos antes ou depois do login
• Seja para exibir alarmes do sistema após o login
• Dicas de login
• Acesso ao usuário baseado em tempo
• Valores de tempo limite para sessões ociosas
• Limites no número de tentativas de login
• Seja para bloquear uma conta de usuário após várias tentativas de autenticação fracassadas

Exibir um anúncio ou mensagem de login do sistema

Às vezes, você deseja fazer anúncios apenas para usuários autorizados após o login em um dispositivo. Por exemplo, você pode querer anunciar um próximo evento de manutenção. Em outros momentos, talvez seja apropriado exibir uma mensagem, como um aviso de segurança, a qualquer usuário que se conecte ao dispositivo.

Por padrão, Junos OS não exibe nenhuma mensagem de login ou anúncio. Você pode configurar o dispositivo para exibir uma mensagem de login ou anúncio, incluindo a message declaração ou a announcement declaração no nível de [edit system login] hierarquia. Enquanto o dispositivo exibe uma mensagem de login depois que um usuário se conecta ao dispositivo, mas antes que o usuário faça login, ele só exibe um anúncio depois que o usuário faz login no dispositivo com sucesso.

Você pode formatar a mensagem ou o texto de anúncio usando os seguintes caracteres especiais. Se o texto contiver espaços, inclua-o entre aspas:

• \n — Nova linha

• \t — guia horizontal

• \'— Marca de cotação única

• \"— Cotação dupla

• \\— Backslash

Para configurar um anúncio que somente usuários autorizados podem ver e uma mensagem que qualquer usuário pode ver:

1. Inclua a announcement declaração e a message declaração no nível hierárquica [edit system login] .

   [edit system login] user@host# set announcement text user@host# set message text

   Por exemplo:

   system { login { announcement "\tJuly 27th 1:00 AM to 8:00\n\nPlanned Network Maintenance\n\nAFFECTED LOCATIONS: Sunnyvale\n\nPLANNED ACTIVITY: Upgrade all 6200 switch firmware to the Enterprise TAC recommended firmware version\n\nPURPOSE: This activity will help to minimize the impact of unplanned power outages as well as address known issues within our currently installed firmware version(s)\n\nWHAT TO EXPECT: During the maintenance window for your site, the office network will not be available.\n\n"; message "\n\tAcme Router Lab\n\n\tUNAUTHORIZED USE OF THIS ROUTER\n\tIS STRICTLY PROHIBITED!\n\n\tPlease contact \'\' to gain\n\taccess to this equipment if you need authorization.\n\n" } }

2. Comprometa a configuração.

   [edit system login] user@host# commit

3. Conecte-se ao dispositivo para verificar a presença da nova mensagem.

   O exemplo de configuração anterior exibe a seguinte mensagem de login após a conexão do usuário ao dispositivo. O exemplo exibe o anúncio após o login do usuário:

   server% ssh host Acme Router Lab UNAUTHORIZED USE OF THIS ROUTER IS STRICTLY PROHIBITED! Please contact '' to gain access to this equipment if you need authorization. Password: July 27th 1:00 AM to 8:00 Planned Network Maintenance AFFECTED LOCATIONS: Sunnyvale PLANNED ACTIVITY: Upgrade all 6200 switch firmware to the Enterprise TAC recommended firmware version PURPOSE: This activity will help to minimize the impact of unplanned power outages as well as address known issues within our currently installed firmware version(s) WHAT TO EXPECT: During the maintenance window for your site, the office network will not be available.

Exibir alarmes do sistema após o login

Você pode configurar dispositivos da Juniper Networks para executar o show system alarms comando sempre que um usuário em uma determinada classe de login fizer login no dispositivo.

Para exibir alarmes sempre que um usuário em uma aula de login específica fizer login no dispositivo:

1. Configure a login-alarms declaração para a aula de login apropriada.

   [edit system login class class-name] user@host# set login-alarms

   Por exemplo, exibir alarmes sempre que um usuário da admin classe de login entrar no dispositivo:

   [edit system login class admin] user@host# set login-alarms

2. Comprometa a configuração.

   [edit system login class class-name] user@host# commit

Quando um usuário da determinada classe de login faz login no dispositivo, o dispositivo exibe os alarmes atuais.

Configure dicas de login

Você pode configurar a Junos OS CLI para exibir uma gorjeta sempre que um usuário da classe de login entrar no dispositivo. O dispositivo não exibe dicas por padrão.

Para habilitar dicas:

1. Configure a login-tip declaração no nível de [edit system login class class-name] hierarquia.

   [edit system login class class-name] user@host# set login-tip

2. Comprometa a configuração.

   [edit system login class class-name] user@host# commit

Ao configurar a login-tip declaração, o dispositivo exibe uma gorjeta para qualquer usuário da classe especificada que faz login no dispositivo.

Configure o acesso do usuário baseado no tempo

Você pode configurar dispositivos juniper networks compatíveis para aplicar o acesso de usuário baseado em tempo para usuários em uma determinada classe. O acesso do usuário baseado em tempo restringe o tempo e a duração dos logins do usuário para todos os usuários pertencentes à classe. Você pode restringir o acesso do usuário com base na hora do dia ou do dia da semana.

Para restringir o acesso do usuário a determinados dias ou horários, inclua as seguintes declarações no nível de [edit system login class class-name] hierarquia:

• allowed-days— Configure o acesso do usuário em dias específicos da semana.

• access-start e access-end— Configure o acesso do usuário entre o horário de início e o tempo de final especificados (hh:mm).

Para configurar o acesso do usuário baseado em tempo:

1. Habilite o acesso em dias específicos da semana.

   [edit system login class class-name] user@host# set allowed-days [ day1 day2 ]

   Por exemplo, configurar o acesso do usuário para a operator-round-the-clock-access aula de login de segunda a sexta-feira sem qualquer restrição no tempo de acesso:

   [edit system login class operator-round-the-clock-access] user@host# set allowed-days [ monday tuesday wednesday thursday friday ]

2. Habilite o acesso em momentos específicos do dia.

   [edit system login class class-name] user@host# set access-start hh:mm user#host# set access-end hh:mm

   Por exemplo, configurar o acesso do usuário para a operator-day-shift-all-days-of-the-week aula de login das 8h30 às 16h30 em todos os dias da semana:

   [edit system login class operator-day-shift-all-days-of-the-week] user@host# set access-start 08:30 user#host# set access-end 16:30

Você também pode configurar o acesso para incluir dias e horários. O exemplo a seguir configura o acesso do usuário para a operator-day-shift aula de login na segunda, quarta e sexta-feira das 8h30 às 16h30:

Como alternativa, você pode especificar o tempo de início e o horário de término do login para a operator-day-shift aula de login usando o seguinte formato:

Nota:

O início e os horários finais de acesso podem se estender até as 00:00 em um determinado dia. Nesse caso, o usuário ainda tem acesso até o dia seguinte, mesmo que você não configure explicitamente esse dia na allowed-days declaração.

Configure o valor de tempo limite para sessões de login ociosas

Uma sessão de login ociosa é aquela em que o CLI exibe o modo operacional ou o modo de configuração pronta, mas não há entrada do teclado. Por padrão, uma sessão de login permanece estabelecida até que um usuário faça logon do dispositivo, mesmo que essa sessão esteja ociosa. Para fechar sessões ociosas automaticamente, você deve configurar um limite de tempo para cada aula de login. Se uma sessão estabelecida por um usuário nessa classe permanecer ociosa pelo limite de tempo configurado, a sessão se encerrará automaticamente. Fechar automaticamente sessões de login ociosas ajuda a impedir que usuários mal-intencionados obtenham acesso ao dispositivo e realizem operações com uma conta de usuário autorizada.

Você pode configurar um tempo limite ocioso apenas para aulas definidas pelo usuário. Você não pode configurar essa opção para as classes predefinidas do sistema: operatorou read-onlysuper-usersuperuserunauthorized.

Para definir o valor de tempo limite para sessões de login ociosas:

1. Especifique o número de minutos que uma sessão pode ficar ociosa antes que o sistema encerre automaticamente a sessão.

   [edit system login class class-name] user@host# set idle-timeout minutes

   Por exemplo, desconectar automaticamente as sessões ociosas dos usuários na admin aula após 15 minutos:

   [edit system login class admin] user@host# set idle-timeout 15

2. Comprometa a configuração.

   [edit system login class class-name] user@host# commit

Se você configurar um valor de tempo limite, o CLI exibirá mensagens semelhantes às seguintes ao cronometrar um usuário ocioso. A CLI começa a exibir essas mensagens 5 minutos antes de desconectar o usuário.

Se você configurar um valor de tempo limite, a sessão será encerrada após o tempo decorrido especificado, exceto nos seguintes casos:

• O usuário está executando o ou telnet o ssh comando.

• O usuário está logado na shell UNIX local.

• O usuário está monitorando interfaces usando o monitor interface ou o monitor traffic comando.

Opções de tentativa de login

Você pode configurar opções de tentativa de login em dispositivos da Juniper Network para proteger os dispositivos contra usuários mal-intencionados. Você pode configurar as seguintes opções:

• O número de vezes que um usuário pode inserir credenciais de login inválidas antes que o sistema feche a conexão.

• Se e por quanto tempo bloquear uma conta do usuário depois que o usuário atingir o limite de tentativas de autenticação fracassadas.

Limitar as tentativas de login e bloquear a conta do usuário ajuda a proteger o dispositivo contra usuários mal-intencionados que tentam acessar o sistema adivinhando a senha de uma conta de usuário autorizada. Você pode desbloquear a conta do usuário ou definir um período de tempo para que a conta do usuário permaneça bloqueada.

Você configura opções de tentativa de login no nível de [edit system login retry-options] hierarquia. A tries-before-disconnect declaração define o limite de tentativas de login falhadas antes que o dispositivo desconecte o usuário. O dispositivo permite três tentativas de login mal sucedidas por padrão.

A lockout-period declaração instrui o dispositivo a bloquear a conta do usuário pelo tempo especificado se o usuário atingir o limite de tentativas de login mal sucedidas. O bloqueio impede que o usuário realize atividades que exigem autenticação, até que o período de bloqueio tenha sido decorrido ou que um administrador do sistema libere manualmente a fechadura. Todas as fechaduras existentes são ignoradas quando o usuário tenta fazer login no console local.

Para configurar opções de tentativa de login:

1. Configure o número de vezes que um usuário pode tentar inserir uma senha.

   [edit system login retry-options] user@host# set tries-before-disconnect number

   Por exemplo, para permitir que um usuário insira uma senha quatro vezes antes que o dispositivo feche a conexão:

   [edit system login retry-options] user@host# set tries-before-disconnect 4
2. Configure o número de minutos em que a conta do usuário permanece bloqueada após um usuário atingir o limite de tentativas de login fracassadas.[edit system login retry-options] user@host# set lockout-period minutes

   Por exemplo, bloquear uma conta de usuário por 120 minutos após um usuário atingir o limite de tentativas de login fracassadas:

   [edit system login retry-options] user@host# set lockout-period 120

3. Comprometa a configuração.

   [edit system login retry-options] user@host# commit

Nota:

Para limpar o console durante um logout iniciado pelo administrador, inclua caracteres newline (\n) quando você configurar a message declaração no nível de [edit system login] hierarquia. Para limpar completamente o console, o administrador pode inserir 50 ou mais caracteres \n na cadeia de mensagens. Por exemplo:

Limite o número de tentativas de login do usuário para sessões de SSH e Telnet

Você pode limitar o número de vezes que um usuário pode tentar inserir uma senha enquanto faz login em um dispositivo por meio de SSH ou Telnet. O dispositivo encerra a conexão se um usuário não fizer login após o número de tentativas especificadas. Você também pode especificar um atraso, em segundos, antes que um usuário possa tentar inserir uma senha após uma tentativa fracassada. Além disso, você pode especificar o limite para o número de tentativas falhadas antes que o usuário experimente um atraso em poder inserir uma senha novamente.

Para especificar o número de vezes que um usuário pode tentar inserir uma senha durante o login, inclua a retry-options declaração no nível de [edit system login] hierarquia:

Você pode configurar as seguintes opções:

• tries-before-disconnect— Número máximo de vezes que um usuário pode inserir uma senha ao fazer login no dispositivo por meio de SSH ou Telnet. A conexão se fecha se um usuário não fizer login após o número especificado. O intervalo é de 1 a 10, e o padrão é 3.

• backoff-threshold— Limite para o número de tentativas de login falhadas antes que o usuário experimente um atraso em poder inserir uma senha novamente. O intervalo é de 1 a 3, e o padrão é 2. Use a opção backoff-factor para especificar o tempo do atraso.

• backoff-factor— tempo, em segundos, que o usuário deve esperar após uma tentativa de login falhando acima da backoff-threshold. O atraso aumenta pelo valor especificado para cada tentativa subsequente após o backoff-threshold valor. O intervalo é de 5 a 10, e o padrão é de 5 segundos.

• lockout-period— tempo, em minutos, em que uma conta do usuário é bloqueada após atingir o tries-before-disconnect limite. O intervalo é de 1 a 43.200 minutos.

• maximum-time seconds— Tempo máximo, em segundos, para que a conexão permaneça aberta para que o usuário insira um nome de usuário e senha para fazer login. Se o usuário permanecer ocioso e não inserir um nome de usuário e senha dentro do configurado maximum-time, a conexão se fechará. O intervalo é de 20 a 300 segundos, e o padrão é de 120 segundos.

• minimum-time— tempo mínimo, em segundos, essa conexão permanece aberta enquanto um usuário tenta inserir uma senha correta. O intervalo é de 20 a 60, e o padrão é de 20 segundos.

Limitar o número de tentativas de login de SSH e Telnet por usuário é um dos métodos mais eficazes para impedir que ataques de força bruta comprometam a segurança de sua rede. Os invasores de força bruta executam um grande número de tentativas de login em um curto espaço de tempo para obter acesso ilegítimo a uma rede privada. Ao configurar as retry-options declarações, você pode criar um atraso crescente após cada tentativa de login fracassada, eventualmente desconectando qualquer usuário que passe seu limite definido de tentativas de login.

Para limitar as tentativas de login quando um usuário faz login por SSH ou Telnet:

1. Configure o limite no número de tentativas de login.

   [edit system login retry-options] user@host# set tries-before-disconnect number

2. Configure o número de tentativas de login antes que o usuário experimente um atraso.

   [edit system login retry-options] user@host# set backoff-threshold number

3. Configure o número de segundos que o usuário deve esperar pelo aviso de login após atingir o backoff-threshold valor.

   [edit system login retry-options] user@host# set backoff-factor seconds

4. Configure o número de segundos em que a conexão permanece aberta enquanto um usuário tenta fazer login.

   [edit system login retry-options] user@host# set minimum-time seconds

Para a configuração a seguir, o usuário experimenta um atraso de 5 segundos após a segunda tentativa de inserir uma senha correta falhar. Após cada tentativa fracassada subseqüente, o atraso aumenta em 5 segundos. Após a quarta e última tentativa fracassada de inserir uma senha correta, o usuário experimenta um atraso adicional de 10 segundos. A conexão fecha após um total de 40 segundos.

Exemplo: Configure opções de tentativa de login

Este exemplo mostra como configurar opções de tentativa de login para proteger um dispositivo contra usuários mal-intencionados.

• Requisitos
• Visão geral
• Configuração
• Verificação

Visão geral

Usuários mal-intencionados às vezes tentam fazer login em um dispositivo seguro adivinhando a senha de uma conta de usuário autorizada. Você pode bloquear uma conta de usuário após um certo número de tentativas de autenticação falhadas. Essa precaução ajuda a proteger dispositivos contra usuários mal-intencionados.

Você pode configurar o número de tentativas de login falhadas antes que o dispositivo bloqueie a conta do usuário, e você pode configurar o tempo que a conta permanece bloqueada. Você também pode configurar a quantidade de tempo que o usuário deve esperar entre tentativas de login falhadas.

Nota:

Este exemplo inclui as seguintes configurações:

• backoff-factor— Tempo de atraso em segundos que o usuário deve esperar após cada tentativa de login falhando acima da backoff-threshold. O atraso aumenta por esse valor para cada tentativa de login subsequente após o valor especificado na backoff-threshold declaração.

• backoff-threshold— Limite para o número de tentativas de login falhadas no dispositivo antes que o usuário experimente um atraso ao tentar reentrada em uma senha. Quando um usuário atinge o limite de tentativas de login falhadas, o usuário experimenta o conjunto de atrasos na backoff-factor declaração. Após o atraso, o usuário pode fazer outra tentativa de login.

• lockout-period— Número de minutos em que a conta do usuário é bloqueada após o usuário atingir o tries-before-disconnect limite. O usuário deve esperar o número configurado de minutos antes de poder fazer login no dispositivo novamente.

• tries-before-disconnect— Número máximo de vezes que o usuário pode inserir uma senha para tentar fazer login no dispositivo por meio de SSH ou Telnet.

Nota:

Se você estiver bloqueado fora do dispositivo, você pode fazer login na porta do console do dispositivo, o que ignora quaisquer fechaduras de usuário. Isso fornece uma maneira de os administradores removerem o bloqueio do usuário em sua própria conta de usuário.

Este exemplo define a opção tries-before-disconnect para 3. Como resultado, o usuário tem três tentativas de fazer login no dispositivo. Se o número de tentativas de login falha for igual ao valor especificado na backoff-threshold declaração, o usuário deve esperar backoff-threshold o multiplicado pelo backoff-factor intervalo, em segundos, para obter o alerta de login. Neste exemplo, o usuário deve esperar 5 segundos após a primeira tentativa de login falha e 10 segundos após a segunda tentativa de login falhada para obter o pedido de login. O dispositivo desconecta o usuário após a terceira tentativa fracassada.

Se o usuário não fizer login com sucesso após três tentativas, a conta do usuário será bloqueada. O usuário não pode fazer login até que 120 minutos tenham passado, a menos que um administrador do sistema libere manualmente a fechadura durante esse período.

Um administrador de sistema pode desbloquear manualmente uma conta emitindo o clear system login lockout user <username> comando. O show system login lockout comando exibe quais contas de usuário estão bloqueadas e quando o período de bloqueio começa e termina para cada usuário.

Configuração

Procedimento

• Configuração rápida de CLI
• Procedimento passo a passo
• Resultados

Configuração rápida de CLI

Para configurar este exemplo rapidamente, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Procedimento passo a passo

Para configurar opções de retítria do sistema:

1. Configure o fator backoff.

   [edit] user@host# set system login retry-options backoff-factor 5

2. Configure o limite de backoff.

   [edit] user@host# set system login retry-options backoff-threshold 1

3. Configure o número de minutos em que a conta do usuário permanece bloqueada após um usuário atingir o limite de tentativas de login fracassadas.

   [edit] user@host# set system login retry-options lockout-period 120

4. Configure o número de vezes que um usuário pode tentar inserir uma senha.

   [edit] user@host# set system login retry-options tries-before-disconnect 3

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show system login retry-options comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Se terminar de configurar o dispositivo, entre no commit modo de configuração.

Verificação

Exibir os logins bloqueados do usuário

• Propósito
• Ação
• Significado

Propósito

Verifique se a configuração de bloqueio de login está ativada.

Ação

Tente três logins sem sucesso para um nome de usuário específico. O dispositivo ficará bloqueado para esse nome de usuário. Em seguida, faça login no dispositivo com um nome de usuário diferente. Do modo operacional, emita o show system login lockout comando para visualizar as contas bloqueadas.

Significado

Depois de realizar três tentativas de login mal sucedidas com um nome de usuário específico, o dispositivo fica bloqueado para esse usuário por 120 minutos, conforme configurado no exemplo. Você pode verificar se o dispositivo está bloqueado para esse usuário fazendo login no dispositivo com um nome de usuário diferente e entrando no show system login lockout comando.

Qual comando bloqueia as tentativas de login no roteador por um período de 30 segundos se 2 tentativas de login falharem em 10 segundos?

Qual tipo de acesso está protegido em um roteador ou switch Cisco com o comando enable secret?

Qual comando deve ser configurado no roteador para concluir a configuração do SSH?

Qual e o efeito de usar o comando router copy running config startup config em um roteador?