Plano de gestión, SSH, AAA y SNMPv3

SNMP sirve para consultar y a veces cambiar la configuración de un equipo. En las versiones 1 y 2c, el «secreto» es una cadena llamada comunidad que viaja sin cifrar y se comparte entre todos los equipos y administradores. Quien la vea, la tiene. Si la comunidad es de escritura, también puede cambiar cosas.

SNMPv3 sustituye la comunidad por usuarios con tres niveles de seguridad definidos en el modelo de seguridad de usuario (RFC 3414): sin autenticación ni privacidad, con autenticación y sin privacidad, o con autenticación y privacidad. En el último, authPriv, el mensaje se autentica y además se cifra. Es el nivel de referencia.

Telnet envía todo, usuario y contraseña incluidos, sin cifrar. SSH versión 2 es el reemplazo de referencia; la versión 1 tiene debilidades conocidas y se desactiva. Una configuración al estándar tiene SSH v2, Telnet apagado, una lista de acceso en las líneas de administración que solo deja entrar desde la red de gestión, y la interfaz web apagada o con TLS.

Abre el laboratorio y lee la fila de cada equipo.

El informe necesita un número que otra persona pueda repetir: cuántos de los equipos revisados usan SNMP v2c. Se cuenta con el filtro en la mano y se anota cuántos tienen escritura, porque no pesan igual: una comunidad de solo lectura expone información; una de escritura permite cambiar el equipo.

Los valores de las comunidades en el laboratorio son marcadores. En un informe real se enmascaran siempre y no se copian completos.

AAA quiere decir autenticación, autorización y registro: el equipo pregunta a un servidor central (TACACS+ o RADIUS) quién entra y qué puede hacer, y deja constancia. Una cuenta local debe ser una sola, de emergencia, con contraseña guardada como hash, y solo debería usarse cuando el servidor central no responde.

Lo que se busca en las cuentas locales es lo que sobra: cuentas con nombres de personas, cuentas compartidas, cuentas de terceros y contraseñas guardadas de manera reversible. Esas dos últimas se combinan en una mina.

Los hallazgos de un mismo equipo se agrupan: Telnet, SNMP con escritura, sin AAA central, sin registro y sin sincronización de hora son un mismo equipo mal administrado, no cinco problemas aislados. Se ordena por lo que más daño hace con menos esfuerzo y se dice, para cada uno, qué cambia en la configuración.