Why Configure VTY Lines on a Network Switch?

Le linee Virtual TeletYpe (VTY) sono le interfacce logiche che accettano connessioni di gestione remota in entrata (Telnet, SSH) a uno switch o router Cisco. Configurarle è essenziale per un'amministrazione di rete sicura, responsabile e scalabile.

Motivi Chiave per Configurare le Linee VTY

1. Accesso Remoto Sicuro
   • Imposta SSH (transport input ssh) e disabilita Telnet in chiaro.
   • Applica ACL di classe di accesso per limitare gli IP sorgente (es. solo subnet di gestione).
   • Imposta password sicure o, preferibilmente, integra AAA (RADIUS/TACACS+) per autenticazione centralizzata.
2. Sessioni Amministratore Concorsuali
   • Predefinito: 5 linee VTY (0–4). Aumenta con line vty 0 15 per fino a 16 sessioni simultanee, consentendo collaborazione del team durante modifiche o interruzioni.
3. Controllo Pieno dei Privilegi CLI
   • Assegna livelli di privilegio per linea o per utente tramite AAA, limitando i comandi (es. helpdesk ottiene solo visualizzazione, ingegneri senior ottengono configurazione).
4. Registrazione e Audit delle Sessioni
   • Abilita logging synchronous, exec-timeout e session-limit. Combinato con la contabilità AAA, ogni comando viene registrato per compliance e forense.
5. Gestione Remota di Siti Distribuiti
   • Elimina la necessità di accesso console fisico negli uffici distaccati, riducendo MTTR e costi di viaggio.
6. Mitigazione DoS
   • Imposta exec-timeout (es. 5 min) e login block-for per prevenire sessioni inattive e brute-force che occupano tutte le VTY.

Linea Base di Sicurezza Minimale (IOS/IOS-XE)

line vty 0 15 transport input ssh access-class MGMT_ACL in exec-timeout 5 0 login authentication AAA_LOGIN privilege 15 logging synchronous 

La corretta configurazione VTY è un passo fondamentale di hardening di rete.