Настройки безопасности ESR

27 May 2026

AAA-авторизация через TACACS+

В качестве примера будет рассмотрена настройка авторизации на маршрутизаторе ESR по ssh через TACACS+.

Рисунок 1 — Схема сети подключения маршрутизатора ESR к TACACS-серверу

Начальная конфигурация:

ESR

hostname ESR

object-group service SSH_PORT
  port-range 22
exit

username local
  password password
  privilege 15
exit

security zone LAN
exit

interface gigabitethernet 1/0/1
  ip address 192.0.2.1/30
exit
interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 203.0.113.1/30
exit

security zone-pair LAN self
  rule 10
    action permit
    match protocol tcp
    match destination-port object-group SSH_PORT
    enable
  exit
exit

Пояснение

Назначаем hostname устройства

Конфигурируем object-group для протокола SSH
Указываем стандартный порт протокола SSH


Формируем локальную пользовательскую учетную запись
Указываем пароль для пользователя
Выставляем уровень привилегий для настраиваемой учетной записи


Создаем зону безопасности 



Присваиваем IP-адрес на интерфейс в сторону TACACS-сервера


Указываем ранее созданную зону безопасности на интерфейс в сторону пользователей 
Присваиваем IP-адрес на интерфейс в сторону TACACS-сервера


Настраиваем группу правил для пары зон безопасности
Указываем номер правила
Выставляем разрешающее действие
Проверяем, что в пакете используется протокол TCP
Проверяем, что в пакете выставлена в качестве принимающего порта указанная нами выше object-group
Активируем работу правила

Пароль от учетной записи хранится в конфигурации в зашифрованном виде.

При настройке авторизации на устройстве через TACACS рекомендуется оставить хотя бы одну локальную пользовательскую учетную запись, чтобы при возникновении проблем с работоспособностью TACACS-сервера возможность работы с устройством не потерялась.

Настройка авторизации на ESR через TACACS+

Сначала необходимо настроить TACACS-сервер.

ESR

tacacs-server host 192.0.2.2
  key ascii-text password
  source-address 192.0.2.1
exit

Пояснение

Указываем IP-адрес TACACS-сервера
Указываем ключ для подключения к TACACS-серверу
Указываем IP-адрес, с которого будут отправляться запросы на TACACS-сервер

Ключ для подключения к TACACS-серверу хранится в конфигурации в зашифрованном виде.

После настройки TACACS-сервера необходимо настроить TACACS-профили для авторизации, а также привязать их к ssh.

ESR

aaa authentication login TACACS tacacs
aaa authentication enable TACACS tacacs

line ssh
  login authentication TACACS
  enable authentication TACACS
exit

Пояснение

Настраиваем TACACS-профиль для авторизации пользователя
Настраиваем TACACS-профиль для повышения уровня привилегий пользователя

Переходим в настройку терминала при подключении по ssh
Привязываем профиль TACACS для авторизации пользователя
Привязываем профиль TACACS для повышения уровня привилегий пользователя

При настройке авторизации пользователей, подключаемых по console или по telnet, необходимо будет выполнить аналогичные настройки.

Настройка Management ACL

В качестве примера будет рассмотрена настройка Management ACL на маршрутизаторе ESR.

Рисунок 2 — Схема сети подключения маршрутизатора ESR при настройке Management ACL

Начальная конфигурация:

ESR

hostname ESR

object-group service SSH_PORT
  port-range 22
exit
object-group service SNMP_PORT
  port-range 161
exit
object-group service NTP_PORT
  port-range 123
exit

username local
  password password
  privilege 15
exit

security zone MGMT
exit

interface gigabitethernet 1/0/1
  ip address 192.0.2.1/30
exit
interface gigabitethernet 1/0/2
  security-zone MGMT
  ip address 203.0.113.1/24
exit

snmp-server
snmp-server community private rw

security zone-pair MGMT self
  rule 10
    action permit
    match protocol tcp
    match destination-port object-group SSH_PORT
    enable
  exit
  rule 20
    action permit
    match protocol udp
    match destination-port object-group SNMP_PORT
    enable
  exit
  rule 30
    action permit
    match protocol udp
    match destination-port object-group NTP_PORT
    enable
  exit
exit

ntp enable
ntp server 192.0.2.2
exit

Пояснение

Назначаем hostname устройства

Конфигурируем object-group для протокола SSH
Указываем стандартный порт протокола SSH

Конфигурируем object-group для протокола SNMP
Указываем стандартный порт протокола SNMP

Конфигурируем object-group для протокола NTP
Указываем стандартный порт протокола NTP


Формируем локальную пользовательскую учетную запись
Указываем пароль для пользователя
Выставляем уровень привилегий для настраиваемой учетной записи


Создаем зону безопасности 



Присваиваем IP-адрес на интерфейс в сторону NTP-сервера


Указываем на интерфейс в сторону NMS ранее созданную зону безопасности
Присваиваем IP-адрес на интерфейс в сторону NMS


Включаем работу протокола SNMP на маршрутизаторе
Определяем community для работы протокола SNMP

Настраиваем группу правил для пары зон безопасности MGMT self
Разрешаем прохождение ssh-трафика





Разрешаем прохождение SNMP-трафика





Разрешаем прохождение NTP-трафика







Включаем работу протокола NTP на маршрутизаторе
Конфигурируем NTP-сервер, с которым маршрутизатор будет синхронизировать время

Пароль от учетной записи хранится в конфигурации в зашифрованном виде.

Настройка Management ACL на ESR

В примере ниже только определенной настроенной группе пользователей будет разрешено подключаться по ssh, синхронизировать время и выполнять опросы по SNMP.

ESR

object-group network MGMT_POOL
  ip prefix 203.0.113.0/24
exit

object-group network NTP_POOL
  ip address-range 192.0.2.2
  ip prefix 203.0.113.0/24
exit

ntp access-addresses NTP_POOL
ip ssh access-addresses MGMT_POOL
snmp-server community private client-list MGMT_POOL rw

Пояснение

Создаем профиль адресов MGMT-сети



Создаем профиль адресов для NTP




Разрешаем обработку NTP трафика только с адресов, указанных в соответствующем профиле
Разрешаем обработку SSH трафика только с адресов, указанных в соответствующем профиле
Разрешаем обработку SNMP трафика только с адресов, указанных в соответствующем профиле

Настройка SYSLOG и событий на устройстве

В качестве примера будет рассмотрена настройка маршрутизатора ESR, подключенного напрямую к SYSLOG-серверу.

Рисунок 3 — Схема сети подключения маршрутизатора ESR к SYSLOG-серверу

Начальная конфигурация:

ESR

hostname ESR

interface gigabitethernet 1/0/1
  ip address 192.0.2.1/24
exit

Пояснение

Назначаем hostname устройства


Присваиваем IP-адрес на интерфейс в сторону SYSLOG-сервера

Настройка хранения SYSLOG

Необходимо настроить локальное хранение SYSLOG с ротацией файлов, а также отправку SYSLOG на удаленный сервер с TCP-транспортом.

В примере ниже syslog-сообщение будет расширено путем добавления в него порядкового номера сообщения и имени процесса, сформировавшего его. Также будет выставлено более точнее время формирования события.

ESR

syslog max-files 3
syslog file-size 1024
syslog timestamp msec
syslog program-name
syslog sequence-numbers
syslog file flash:syslog/INFO
  severity info
exit

logging login on-failure

syslog host REMOTE
  remote-address 192.0.2.2
  severity info
  transport tcp
  source-address 192.0.2.1
exit

Пояснение

Настраиваем ротацию syslog-файлов
Настраиваем ограничение размера syslog-файла
Настраиваем более точное определение временной метки syslog-сообщения
Включаем в syslog-сообщение имя процесса, сформировавшего его
Включаем нумерацию syslog-сообщений
Настраиваем локальное сохранение syslog-сообщений в файл
Выставляем уровень сохраняемых syslog-сообщений 


Включаем отправку событий неудачной авторизации на устройстве

Настраиваем отправку syslog-сообщений на удаленный сервер
Указываем IP-адрес удаленного сервера, на который будут отправляться syslog-сообщения
Выставляем уровень отправляемых syslog-сообщений 
Указываем TCP-протокол передачи для syslog-сообщений 
Указываем IP-адрес, с которого будут отправляться syslog-сообщения

В статье упоминается

Межсетевые экраны ФСТЭК

Сервисные маршрутизаторы