Tidak, Anda tidak - secara teknis. Tetapi apakah Anda dapat masuk ke mode aktifkan tanpa satu tergantung pada bagaimana Anda masuk.
Inilah versi kepuasan instan:
Anda dapat masuk melalui konsol tanpa mengaktifkan kata sandi, tetapi Anda akan terjebak dalam mode pengguna jika Anda menggunakan kata sandi login vty sederhana tanpa set kata sandi yang diaktifkan.
Inilah versi penjawab StackExchange yang bertele-tele:
Otentikasi Cisco agak berantakan bagi pemula. Ada banyak bagasi warisan di sana. Biarkan saya mencoba untuk memecah ini dalam arti dunia nyata.
Setiap orang yang memiliki bisnis yang masuk ke router atau beralih cukup banyak langsung ke mode privilege (aktifkan). Mode pengguna pada dasarnya adalah lobi depan, dan melayani sedikit lebih banyak tujuan daripada untuk menjaga konsep keluar. Dalam organisasi besar di mana Anda memiliki jaringan yang luas dan kumpulan tenaga kerja yang sama besarnya, mungkin dibenarkan untuk memiliki seseorang yang dapat mengetuk pintu depan dan memastikan seseorang masih ada di sana. (Yaitu, untuk masuk dan menjalankan perintah yang paling sepele hanya untuk melihat bahwa perangkat tersebut, pada kenyataannya, merespons dan tidak terbakar.) Tetapi di setiap lingkungan yang pernah saya gunakan, tingkat 1 setidaknya memiliki beberapa kemampuan untuk memecahkan barang.
Dengan demikian, dan khususnya dalam skenario seperti milik Anda, mengetahui kata sandi yang diaktifkan adalah wajib untuk menyelesaikan apa pun. Bisa dibilang ini adalah tingkat keamanan kedua - satu kata sandi untuk masuk ke perangkat, yang lain untuk meningkatkan keistimewaan administrasi - tetapi itu agak konyol bagi saya.
Seperti yang telah disebutkan, Anda dapat (dan banyak orang melakukannya) menggunakan kata sandi yang sama, yang tidak banyak membantu jika seseorang telah memperoleh akses tidak sah melalui telnet / ssh. Memiliki kata sandi global yang statis yang dibagikan oleh semua orang bisa dibilang lebih merupakan masalah daripada hanya perlu satu token untuk masuk. Akhirnya, sebagian besar sistem lain (layanan, peralatan, dll.) Tidak memerlukan otentikasi lapisan kedua, dan umumnya tidak dianggap tidak aman karena hal ini.
OK, itu pendapat saya tentang topik tersebut. Anda harus memutuskan sendiri apakah masuk akal mengingat sikap keamanan Anda sendiri. Mari kita mulai bisnis.
Cisco (secara bijak) mengharuskan Anda untuk mengatur kata sandi akses jarak jauh secara default. Ketika Anda masuk ke mode konfigurasi garis ...
router> enable
router# configure terminal
router(config)# line vty 0 15
router(config-line)#
... Anda dapat memberi tahu router untuk melewati otentikasi:
router(config-line)# no login
... dan segera diretas, tetapi penyerang Anda akan berakhir dalam mode pengguna. Jadi jika Anda memiliki mengaktifkan password set, setidaknya Anda telah agak membatasi kerusakan yang bisa dilakukan. (Secara teknis, Anda tidak dapat melangkah lebih jauh tanpa kata sandi yang memungkinkan. Lebih lanjut tentang itu suatu saat ...)
Secara alami, tidak ada yang akan melakukan ini dalam kehidupan nyata. Persyaratan minimum Anda, secara default dan dengan akal sehat, adalah untuk menetapkan kata sandi sederhana:
router(config-line)# login
router(config-line)# password cisco
Sekarang, Anda akan dimintai kata sandi, dan Anda akan kembali ke mode pengguna. Jika Anda masuk melalui konsol, Anda cukup mengetik enableuntuk mendapatkan akses tanpa harus memasukkan kata sandi lain. Tetapi hal-hal berbeda melalui telnet, di mana Anda mungkin akan mendapatkan ini sebagai gantinya:
$ telnet 10.1.1.1
Trying 10.1.1.1...
Connected to 10.1.1.1.
Escape character is '^]'.
User Access Verification
Password: *****
router> enable
% No password set
router>
Pindah ... Anda mungkin sudah tahu bahwa, secara default, semua kata sandi yang Anda konfigurasikan ditampilkan sebagai teks biasa:
router# show run | inc password
no service password-encryption
password cisco
Ini adalah salah satu hal yang mengencangkan sfingter yang sadar-keamanan. Apakah itu kecemasan yang dibenarkan lagi adalah sesuatu yang harus Anda putuskan sendiri. Di satu sisi, jika Anda memiliki akses yang cukup untuk melihat konfigurasi, Anda mungkin memiliki akses yang cukup untuk mengubah konfigurasi. Di sisi lain, jika Anda secara tidak sengaja mengungkapkan konfigurasi Anda kepada seseorang yang tidak memiliki sarana sendiri, maka ... yah, sekarang mereka memang memiliki sarana.
Untungnya, baris pertama dalam cuplikan di atas no service password-encryption, adalah kunci untuk mengubah itu:
router(config)# service password-encryption
router(config)# line vty 0 15
router(config-line)# password cisco
Sekarang, ketika Anda melihat konfigurasi, Anda melihat ini:
router(config-line)# do show run | begin line vty
line vty 0 4
password 7 01100F175804
login
line vty 5 15
password 7 01100F175804
login
!
!
end
Ini sedikit lebih baik daripada kata sandi teks biasa, karena string yang ditampilkan tidak cukup mudah diingat untuk dapat diakses. Namun, itu sepele untuk mendekripsi - dan saya menggunakan istilah itu secara longgar di sini. Anda benar-benar dapat menempelkan string itu di atas ke dalam satu dari selusin cracker kata sandi JavaScript di halaman hasil Google pertama, dan mendapatkan teks aslinya kembali dengan segera.
Kata sandi yang disebut "7" ini biasanya dianggap "dikaburkan" daripada "dienkripsi" untuk menyoroti fakta bahwa kata sandi itu hampir tidak lebih baik daripada tidak sama sekali.
Namun ternyata, semua passwordperintah itu sudah usang. (Atau jika tidak, seharusnya demikian.) Itulah mengapa Anda memiliki dua opsi berikut:
router(config)# enable password PlainText
router(config)# enable secret Encrypted
router(config)# do show run | inc enable
enable secret 5 $1$sIwN$Vl980eEefD4mCyH7NLAHcl
enable password PlainText
Versi rahasia di-hash dengan algoritma satu arah, artinya satu-satunya cara untuk mendapatkan teks asli kembali adalah dengan brute-force - yaitu, mencoba setiap string input yang mungkin sampai Anda menghasilkan hash yang diketahui.
Saat Anda memasukkan kata sandi saat diminta, kata sandi akan melewati algoritma hashing yang sama, dan karenanya harus menghasilkan hash yang sama, yang kemudian dibandingkan dengan yang ada di file konfigurasi. Jika cocok, kata sandi Anda diterima. Dengan begitu, teks biasa tidak diketahui oleh router kecuali pada saat singkat ketika Anda membuat atau memasukkan kata sandi. Catatan: Selalu ada kemungkinan beberapa input lain dapat menghasilkan hash yang sama, tetapi secara statistik itu adalah probabilitas yang sangat rendah (baca: dapat diabaikan).
Jika Anda sendiri yang menggunakan konfigurasi di atas, router akan mengizinkan kedua baris enable passworddan enable secretada, tetapi rahasia menang dari prompt kata sandi. Ini adalah salah satu dari isme-Cisco yang tidak masuk akal, tetapi memang demikian adanya. Selain itu, tidak ada secretperintah yang setara dari mode konfigurasi baris, jadi Anda terjebak dengan kata sandi yang tidak jelas di sana.
Baiklah, jadi sekarang kita memiliki kata sandi yang tidak dapat dipulihkan (dengan mudah) dari file konfigurasi - tetapi masih ada satu masalah. Itu sedang dikirim dalam teks biasa ketika Anda login melalui telnet. Tidak baik. Kami menginginkan SSH.
SSH, yang dirancang dengan keamanan yang lebih baik, membutuhkan kerja ekstra - dan gambar iOS dengan serangkaian fitur tertentu. Satu perbedaan besar adalah bahwa kata sandi sederhana tidak lagi cukup baik. Anda harus beralih ke otentikasi berbasis pengguna. Dan saat Anda melakukannya, atur pasangan kunci enkripsi:
router(config)# username admin privilege 15 secret EncryptedPassword
router(config)# line vty 0 15
router(config-line)# transport input ssh
router(config-line)# no password
router(config-line)# login local
router(config-line)# exit
router(config)# ip ssh version 2
router(config)# crypto key generate rsa modulus 1024
Sekarang Anda memasak dengan gas! Perhatikan perintah ini menggunakan secretkata sandi. (Ya, Anda bisa, tetapi tidak boleh, gunakan password). Bagian ini privilege 15memungkinkan Anda untuk memotong mode pengguna sepenuhnya. Saat Anda masuk, Anda langsung menuju ke mode istimewa:
$ ssh admin@10.1.1.1
Password: *****
router#
Dalam skenario ini, tidak perlu menggunakan kata sandi yang memungkinkan (atau rahasia.)
Jika Anda belum berpikir, "wow ... apa clusterfudge yang adalah", ingatlah ada seluruh posting yang panjang-tele lainnya masih bersembunyi di balik perintah aaa new-model, di mana Anda bisa menyelam ke dalam hal-hal seperti server otentikasi eksternal (RADIUS , TACACS +, LDAP, dll.), Daftar otentikasi (yang menentukan sumber yang akan digunakan, dan urutannya), tingkat otorisasi, dan penghitungan aktivitas pengguna.
Simpan semua itu untuk sementara waktu ketika Anda merasa ingin keluar dari router untuk sementara waktu.
Semoga itu bisa membantu!