Interfaccia VTY Spiegata: Terminal Virtuale per Gestione Remota di Rete
Un'interfaccia VTY (Virtual TeletYpe) è una linea terminale definita da software su un dispositivo di rete (router, switch, firewall) che abilita l'accesso CLI remoto tramite rete. A differenza delle porte console/aux fisiche, le VTY esistono solo nel SO—create dinamicamente quando una sessione remota si connette.
Caratteristiche Principali
- Virtuale: Nessuna porta hardware. Fino a centinaia configurabili (es.
line vty 0 15= 16 sessioni simultanee). - Protocolli di Trasporto: SSH (sicuro, standard), Telnet (insicuro, deprecato), talvolta HTTP/HTTPS (CLI web).
- Autenticazione: Database utenti locali, AAA (RADIUS/TACACS+), o password di linea.
- Controllo Accesso: Access-class (IPv4), IPv6 access-class, gruppi rotary, restrizioni transport input.
- Parametri Sessione: Timeout (exec-timeout), larghezza/altezza, logging sincrono, dimensione cronologia.
Configurazione Cisco IOS Tipica
line vty 0 15
transport input ssh ! Disabilita Telnet
login authentication AAA_LIST ! Usa AAA (TACACS+/RADIUS)
exec-timeout 10 0 ! Timeout inattività 10 min
logging synchronous ! Impedisce ai messaggi di log di interrompere l'input
length 0 ! Nessuna paginazione
access-class MGMT_ACL in ! Limita IP sorgente (IPv4)
ipv6 access-class MGMT_V6 in ! Limita IP sorgente (IPv6)Perché le VTY Sono Essenziali
- Gestione Remota: Gli amministratori configurano/monitorano dispositivi da NOC/SOC senza presenza fisica.
- Automazione: Ansible, Netmiko, NAPALM, Terraform si connettono tramite SSH alle linee VTY.
- Scalabilità: Centinaia di sessioni concorrenti possibili (limitate da CPU/memoria).
- Granularità di Sicurezza: ACL per linea, livelli di privilegio per utente (0–15), CoA (Change of Authorization).
VTY vs Console vs Aux
| Porta | Tipo | Caso d'Uso | Sicurezza |
|---|---|---|---|
| Console (CON) | Fisica (RJ45/USB) | Configurazione iniziale, disaster recovery, recupero password | Accesso fisico richiesto |
| Auxiliar (AUX) | Fisica (modem async) | Gestione di backup dial-up legacy | Fisico + auth modem |
| VTY | Virtuale (TCP) | Amministrazione remota quotidiana, automazione, monitoraggio | AAA, ACL, chiavi SSH, MFA |
Best Practices
- Solo SSH:
transport input ssh. Genera chiavi RSA/ECDSA ≥ 2048/256 bit. - AAA + TACACS+: Autorizzazione e contabilità comandi centralizzata.
- Management Plane Protection (MPP): Limita VTY a VRF/interfaccia di gestione dedicata.
- Limita Conteggio VTY: Solo ciò di cui hai bisogno (es. 0–4 o 0–15).
- Banner/Avviso Login: Avviso legale secondo policy.
Conclusione
Le interfacce VTY sono il principale punto di ingresso del piano di controllo remoto per le infrastrutture di rete. Proteggile rigorosamente: SSH, AAA, ACL IP sorgente, MPP e monitoraggio per tentativi di forza bruta.