المحتويات

المقدمة

مشكلة: يظهر موجه أمر التأخير قبل كلمة المرور أثناء تسجيل الدخول عبر SSH/Telnet

SSH إلى واجهة N5K mgmt0

Telnet إلى واجهة N5K mgmt0

الحل

المقدمة

يصف هذا المستند التأخير قبل ظهور مطالبة كلمة المرور أثناء تسجيل الدخول عبر SSH/Telnet.

تتم ملاحظة هذه المشكلة بشكل عام عند محاولة تسجيل الدخول عبر SSH أو Telnet إلى واجهة mgmt0 على Nexus 5K/6K.

بعد أن تقوم بإدخال معرف المستخدم، يظهر هذا النص وهناك تأخير أطول كما هو متوقع، قبل أن تظهر مطالبة كلمة المرور.

login as: admin

<delay for several seconds before below text is appears>

Nexus 5000 Switch

Using keyboard-interactive authentication.

Password:

مشكلة: يظهر موجه أمر التأخير قبل كلمة المرور أثناء تسجيل الدخول عبر SSH/Telnet

تحدث المشكلة بسبب البحث العكسي في DNS.

بشكل افتراضي، يتم تمكين ip domain-lookup على Nexus وإذا تم تكوين قائمة خادم DNS (ip name-server) تحت إدارة VRF، سيقوم المحول بإجراء بحث DNS عكسي على عنوان IP لمصدر المستخدم كلما اتصل بمنفذ mgmt0 عبر SSH أو Telnet.

تم تصميم بحث DNS العكسي لأغراض الأمان للتحقق من شرعية عنوان IP المصدر ومنع انتحال عناوين IP.

هنا مثال حيث إستخدمنا خادم DNS 10.67.84.45

لا يحتوي خادم DNS في هذه الحالة على إدخال لعنوان IP المصدر الخاص بالعميل ولا يوفر إستجابة. وهذا يؤدي إلى قيام محول Nexus بإجراء استعلامات متعددة، حيث إن الخادم لا يرجع نتيجة وبالتالي فإن هذا يتسبب في التأخير.

ip domain-lookup

vrf context management

ip name-server 10.67.84.45

من هذا الإخراج الخاص ب show host، يمكنك أن ترى أنه يوجد خادم DNS تم تكوينه لإدارة VRF وأنه تم تمكين البحث عن مجال IP.

N5548P-2# show hosts

DNS lookup enabled

Name servers for vrf:management is  10.67.84.45

Host                    Address

تم التقاط الإيثاناليزر بعد إدخال اسم المستخدم وتنتظر ظهور مطالبة كلمة المرور.

هو يظهر أن Nexus switch ينجز إثنان عكسي DNS عملية بحث مقابل مصدر المستعمل عنوان، 62.84.137.10

SSH إلى واجهة N5K mgmt0

Username: admin

<delay for several seconds>

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:11:44.105674  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2015-05-09 22:11:49.102673  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

N5548P-2# 2 packets captured

The password prompt is then displayed for the user

Nexus 5000 Switch

Using keyboard-interactive authentication.

Password

:

بالمثل، عندما تقوم بتسجيل الدخول عبر Telnet، يقوم المحول أولا بتنفيذ البحث العكسي DNS أعلاه على عنوان IP لمصدر المستخدم ثم يعرض مطالبة تسجيل الدخول.

Telnet إلى واجهة N5K mgmt0

telnet to switch 10.67.84.56

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:24:56.303878  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2015-05-09 22:25:01.302680  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2 packets captured

يتم بعد ذلك عرض مطالبة تسجيل الدخول:

Nexus 5000 Switch

login: admin

Password:

الحل

الحل 1. قم بتعديل قائمة خوادم DNS التي تم تكوينها على Nexus، بحيث يتم الرجوع إلى خادم DNS المستجيب قبل خادم DNS غير المستجيب.

إذا استلم Nexus سجل DNS صالحا من خادم DNS المحلي فلن يستشير خادم DNS الثاني في القائمة. وهذا يقلل من التأخير.

مثال:

vrf context management

no ip name-server 10.67.84.45

ip name-server  10.67.84.48 10.67.84.45

يمكنك إستخدام هذا الأمر للتحقق من القائمة الحالية لخوادم DNS حيث يظهر الخادم المحلي أولا في القائمة:

N5548P-2# sh hosts

DNS lookup enabled

Name servers for vrf:management is  10.67.84.48 10.67.84.45

Host                    Address

من خلال التقاط الإيثاناليزر هذا، يتم أولا إجراء البحث عن اسم IP ويتم تلقي إستجابة.

ويتبع ذلك بحث عن عنوان من اسم إلى عنوان IP حيث يتم تلقي إستجابة.

في هذه الحالة، لم يتم ملاحظة أي تأخير ملحوظ عند تسجيل الدخول عبر SSH أو Telnet.

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:55:46.037079  10.67.84.56 -> 10.67.84.48 DNS Standard query PTR

20.196.104.64.in-addr.arpa

2015-05-09 22:55:46.037444 10.67.84.48 -> 10.67.84.56  DNS Standard query res

ponse PTR no-sense-1.cisco.com

2015-05-09 22:55:46.041907  10.67.84.56 -> 10.67.84.48 DNS Standard query A n

o-sense-1.cisco.com

2015-05-09 22:55:46.042295 10.67.84.48 -> 10.67.84.56  DNS Standard query res

ponse A 64.104.196.20

الحل 2. أزلت ال DNS قائمة من الإدارة VRF.

مثال:

إدارة سياق vrf

no ip name-server 10.67.84.48 10.67.84.45

- تعطيل البحث عن مجال IP

no ip domain-lookup

ملاحظة: هناك طلب تحسين مفتوح لتعطيل بحث DNS العكسي ل SSh/Telnet.

CSCur27501 تعطيل البحث عن DNS ل SSH/Telnet