Configuration initiale d'un routeur Cisco

Un routeur sorti de son carton n'a ni nom, ni adresse, ni mot de passe. Sa configuration initiale détermine à la fois son fonctionnement et sa sécurité : un équipement mis en réseau avec Telnet actif et sans mot de passe robuste est une porte ouverte.

Objectif : configurer un routeur Cisco étape par étape, de la connexion console à un équipement opérationnel, administrable en SSH et correctement journalisé.

Le scénario

            Internet (FAI)
                  │ 203.0.113.2/30 (passerelle du FAI : 203.0.113.1)
          Gi0/0/0 │
            ┌─────┴─────┐
            │   R-PARIS  │
            └─────┬─────┘
          Gi0/0/1 │ 10.10.0.1/24
                  │
             Réseau local

Étape 0 : première connexion

Connectez-vous en console (9600 bauds, 8 bits, sans parité, 1 bit d'arrêt). Au premier démarrage, IOS peut proposer un dialogue de configuration initiale : répondez no pour configurer manuellement.

Si l'équipement a déjà servi, vérifiez son état (show running-config) et, si nécessaire, effacez la configuration de démarrage (write erase puis reload) dans un environnement de test.

Étape 1 : identité et confort

Router> enable
Router# configure terminal
Router(config)# hostname R-PARIS
R-PARIS(config)# no ip domain lookup
R-PARIS(config)# ip domain name exemple.local
R-PARIS(config)# banner motd ^
Accès réservé au personnel autorisé. Toute connexion est journalisée.
^

La bannière ne doit pas révéler d'informations sur l'équipement ou l'organisation ; elle rappelle le caractère restreint de l'accès.

Étape 2 : comptes et mots de passe

R-PARIS(config)# enable algorithm-type scrypt secret <MotDePasseEnableRobuste>
R-PARIS(config)# username admin privilege 15 algorithm-type scrypt secret <MotDePasseAdminRobuste>
R-PARIS(config)# security passwords min-length 12
R-PARIS(config)# service password-encryption
R-PARIS(config)# login block-for 120 attempts 5 within 60

• enable secret protège l'accès au mode privilégié. Utilisez un hachage robuste (type 9 scrypt, ou type 8 PBKDF2) lorsque la version le permet. N'utilisez jamais enable password, stocké de façon réversible.
• username … secret crée un compte local, utilisé pour SSH et la console.
• service password-encryption masque les mots de passe restés en clair (type 7) dans l'affichage : c'est une simple obfuscation, réversible, et non une protection réelle.
• login block-for bloque temporairement les connexions après plusieurs échecs.

Dans un environnement de production, l'authentification se fait de préférence via un serveur AAA (TACACS+), le compte local servant de secours. Voir Contrôle d'accès et principe du moindre privilège.

Étape 3 : sécuriser la console

R-PARIS(config)# line console 0
R-PARIS(config-line)# login local
R-PARIS(config-line)# exec-timeout 10 0
R-PARIS(config-line)# logging synchronous
R-PARIS(config-line)# exit

logging synchronous évite que les messages système n'interrompent la saisie ; exec-timeout 10 0 déconnecte une session inactive après 10 minutes.

Étape 4 : activer SSH et désactiver Telnet

R-PARIS(config)# crypto key generate rsa modulus 3072 label SSH-KEY
R-PARIS(config)# ip ssh version 2
R-PARIS(config)# ip ssh rsa keypair-name SSH-KEY
R-PARIS(config)# ip ssh time-out 60
R-PARIS(config)# ip ssh authentication-retries 3
R-PARIS(config)# ip access-list standard ACL-ADMIN
R-PARIS(config-std-nacl)# permit 10.10.0.0 0.0.0.255
R-PARIS(config-std-nacl)# deny any log
R-PARIS(config-std-nacl)# exit
R-PARIS(config)# line vty 0 15
R-PARIS(config-line)# login local
R-PARIS(config-line)# transport input ssh
R-PARIS(config-line)# access-class ACL-ADMIN in
R-PARIS(config-line)# exec-timeout 10 0
R-PARIS(config-line)# exit

• La génération d'une clé RSA exige un nom d'hôte et un nom de domaine.
• transport input ssh interdit Telnet sur les lignes virtuelles.
• access-class restreint les sources autorisées à se connecter : ici, le réseau local seulement. En production, on limite à un réseau d'administration dédié.
• Le nombre de lignes VTY disponibles varie selon les plateformes (0 4, 0 15, voire davantage).

Étape 5 : les interfaces

R-PARIS(config)# interface GigabitEthernet0/0/0
R-PARIS(config-if)# description WAN - Lien FAI
R-PARIS(config-if)# ip address 203.0.113.2 255.255.255.252
R-PARIS(config-if)# no ip redirects
R-PARIS(config-if)# no ip unreachables
R-PARIS(config-if)# no ip proxy-arp
R-PARIS(config-if)# no shutdown
R-PARIS(config-if)# exit
R-PARIS(config)# interface GigabitEthernet0/0/1
R-PARIS(config-if)# description LAN - Réseau local
R-PARIS(config-if)# ip address 10.10.0.1 255.255.255.0
R-PARIS(config-if)# no shutdown
R-PARIS(config-if)# exit

Sur un routeur, les interfaces sont désactivées par défaut (shutdown) : n'oubliez pas no shutdown. Sur l'interface exposée à Internet, désactiver les redirections ICMP, les messages « unreachable » et le proxy ARP réduit la surface d'attaque. Gardez en tête que no ip unreachables supprime aussi des messages utiles au diagnostic : appliquez ce réglage en connaissance de cause.

Étape 6 : routage par défaut

R-PARIS(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1

Les postes du réseau local utiliseront 10.10.0.1 comme passerelle. Pour qu'ils accèdent à Internet avec leurs adresses privées, une traduction d'adresses est nécessaire : voir NAT et PAT : traduction d'adresses. Pour le routage en général, voir Routage statique : configuration et dépannage.

Étape 7 : heure, journalisation et services

R-PARIS(config)# clock timezone CET 1 0
R-PARIS(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
R-PARIS(config)# ntp server 10.10.0.40
R-PARIS(config)# service timestamps log datetime msec localtime show-timezone
R-PARIS(config)# service timestamps debug datetime msec localtime show-timezone
R-PARIS(config)# logging buffered 32000 informational
R-PARIS(config)# logging host 10.10.0.30
R-PARIS(config)# no ip http server
R-PARIS(config)# no ip http secure-server
R-PARIS(config)# no cdp run

• La synchronisation NTP est indispensable pour des journaux exploitables. Voir NTP et synchronisation horaire.
• Désactivez le serveur HTTP si vous n'utilisez pas l'interface web.
• CDP révèle des informations sur l'équipement à ses voisins. On peut le désactiver globalement, ou seulement sur les interfaces exposées (no cdp enable sur l'interface WAN) pour le conserver en interne comme aide au diagnostic.

Étape 8 : enregistrer et sauvegarder

R-PARIS(config)# end
R-PARIS# copy running-config startup-config
R-PARIS# copy running-config scp://sauvegarde@10.10.0.50/r-paris.cfg

Voir Sauvegarde et restauration des configurations réseau.

Étape 9 : vérifier

R-PARIS# show ip interface brief
R-PARIS# show ip route
R-PARIS# ping 203.0.113.1
R-PARIS# show ip ssh
R-PARIS# show ssh
R-PARIS# show users
R-PARIS# show ntp associations
R-PARIS# show logging

Testez une connexion SSH depuis un poste du réseau local, puis vérifiez qu'une tentative Telnet est refusée.

Erreurs courantes

• Oublier no shutdown sur les interfaces.
• Générer la clé RSA avant d'avoir défini le nom de domaine (la commande échoue).
• Appliquer access-class sans y inclure sa propre adresse, et perdre l'accès à distance.
• Utiliser enable password au lieu de enable secret.
• Ne pas enregistrer la configuration.

Conclusion

Une configuration initiale soignée tient en quelques dizaines de lignes : identité, comptes avec hachage robuste, SSH restreint, interfaces documentées, route par défaut, heure synchronisée, journalisation et services inutiles désactivés. C'est le socle de tout équipement de production. La démarche équivalente pour un commutateur est présentée dans Configuration et sécurisation d'un commutateur Cisco.

Références

• Cisco — Use the Cisco IOS XE Hardening Guide (note technique 220270)
• Cisco — Secure Shell Configuration Guide (IOS XE)
• RFC 5737 — IPv4 Address Blocks Reserved for Documentation