Cisco IOSまたはNX-OSでのパスワードポリシーの設定

ローカルで定義されたアカウントにパスワードの複雑さを適用するパスワードポリシーを構成することはまったく可能かどうか疑問に思っていました。TACACS +とRADIUSで可能であることは知っていますが、ローカルで定義されたアカウントにそのようなポリシーを適用できるかどうかを知る必要があります。

私が対象とするデバイスは、IOSとNX-OSを実行しています

ローカルアカウントのパスワードの複雑さに関しては、次のオプションがあります...

• Cisco NX-OS：NX-OSでローカルパスワードポリシーを設定できるかわかりません。ただし、NX-OS はデフォルトで脆弱なパスワードを拒否します。この機能を無効にするにno password strength-checkingは、グローバル構成で使用します。
• Cisco IOS：
  • パスワードの長さ：security password min-length。確かに、長さ自体はかなり弱いチェックですが、IOSは少なくともブルートフォース攻撃を検出/拒否できます（以下を参照）。

覚えておくべきことがいくつかあります...

• Cisco IOSの古いバージョンの多くは、弱い「タイプ7」ハッシュを使用して、パスワードをショルダーサーフィンから保護しています。このようなハッシュを元に戻すためのツールがインターネット上に10億あります。タイプ7のハッシュは安全であると考えるべきではないため、適切な権限が適用されているディレクトリに構成をアーカイブします（つまり、ほとんどの人がtftpファイルの権限を777に変更するため、Linux tftpディレクトリは適切な場所ではありません）。

  • 皮肉なことに、弱い「タイプ7」アルゴリズムは、初心者には安全に見え、と呼ばれるコマンドで有効になりservice password-encryptionます。
  • secretユーザー名で可能な場合は常にキーワードを使用する必要がありますusername joe secret 5 $1$pJz5$28CTViXggZmhjikYdDyls0。これは、少なくともmd5平文パスワードのまともなハッシュです。新しいIOSバージョンはより強力なアルゴリズムを使用しようとしますが、正しくなる前に失敗しました。
  • ローカルアカウントを監査して、secretキーワードを使用するようにローカルアカウントをアップグレードできるかどうかを確認することは、悪い考えではありません。Linuxでは、それはgrep ^username /path/to/your/configs/* | grep -v secret（今日$ dayjobでこれを行うように自分にメモをとる）と同じくらい簡単です。
• IOSの新しいバージョンには、ルーターに対するブルートフォース攻撃をトラップする機能があります。ACLがVTYに適用されます。
  • このコマンドは、ACLを自動的に適用して、5分間に3回パスワードチェックに失敗した場合、問題のある送信元IPアドレスを60秒間ブロックします。 login block-for 60 attempts 3 within 300
  • を使用して適用されるアクセスリストをカスタマイズできますlogin quiet-mode access-class [acl-name]。デフォルトでは、IOSはaclと呼ばれるsl_def_acl