VoIP Community of Thailand - เว็บบอร์ด VoIP Issabel, Elastix Asterisk FreePBX IPPhone VoIP Gateway Call Center IPPBX ของไทย โดยคนไทย เพื่อคนไทย

[nuiz]

ค่าดีฟอลท์ของพอร์ต Telnet ของ Cisco Router คือ 23 ครับ เป็น TCP แต่เพื่อความปลอดภัย ไม่ให้ใครมาแอบ Telnet เข้า Router และเดาพาสเวอร์ดของเราได้ง่ายๆ เราสามารถเปลี่ยนเป็นพอร์ตอื่นได้ครับ แต่ก็จะเปลี่ยนได้ตั้งแต่พอร์ต 3001 ถึง 3127 เท่านั้นครับ (ผมลองกับ Cisco AS5300 Access Router ของลูกค้าท่านหนึ่ง ซึ่งเขาต่อ Cisco กับ Internet โดยตรง)

ใช้คำสั่ง rotary ช่วยครับ รันคำสั่งนี้ใน line vty คำสั่งนี้ให้ใส่ตัวเลข 1 - 127 ต่อท้ายคำสั่งครับ ซึ่ง Cisco Router จะบวกให้อีก 3000 ครับ ยกตัวอย่างเช่น ถ้าผมพิมพ์คำสั่ง rotary 5 ก็จะกลายเป็น 3005 ครับ

จากนั้น Cisco Router จะรับการ Telnet ทั้งพอร์ต 3005 และ 23 ครับ เราต้องบล๊อคพอร์ต 23 ไม่ให้มีใครเข้ามาทางพอร์ตนี้ได้ได้ ผมใช้ access-list ช่วยครับ และถ้าใช้ access-list เพื่อบล๊อคพอร์ตแล้ว ต้องใช้ access-list เปิดพอร์ตอื่นๆที่ต้องการใช้งานด้วย ไม่งั้นจะบล๊อคทั้งหมดครับ

ตัวอย่างการใส่คำสั่ง rotary ภายใต้ line vty ครับ

โค้ด: เลือกทั้งหมด

line vty 0 4
login
rotary 5
transport input all


สร้าง Access List ยอมรับสิ่งที่ต้องการ ปฏิเสธสิ่งที่ไม่ต้องการ ห้าม permit พอร์ต telnet (23) นะครับ เครื่องหมาย ... นี่คือคำสั่งอื่นๆครับ ผมละไว้ในฐานที่เข้าใจ

โค้ด: เลือกทั้งหมด

ip access-list extended security
...
permit tcp any any eq 3005
...
deny   ip any any log


แล้วเอา access-list มาใส่ไว้ในพอร์ต LAN ที่ต่อกับ Internet ครับ

โค้ด: เลือกทั้งหมด

interface fa0/0
...
ip access-group security in
...


ต่อไปเวลาเราจะ Telnet เข้า Cisco ต้องเข้าทางพอร์ต 3023 ไม่ใช่ 23 ครับ ยกตัวอย่างการ Telnet จาก Command Prompt บนเครื่อง Windows ครับ

โค้ด: เลือกทั้งหมด

telnet 192.168.100.100 3023