コンソール ポート、Telnet、および SSH の処理

この章では、次のトピックについて取り上げます。

Cisco ASR 1000 シリーズ ルータ用コンソールポートの概要

Cisco ASR 1000 シリーズ ルータ上のコンソールポートは、EIA/TIA-232 非同期、フロー制御なしのシリアル接続で、コネクタは RJ-45 コネクタを使用します。コンソールポートはルータへのアクセスに使用され、ルートプロセッサ（RP）の前面パネルに位置しています。

コンソールポートを使用したルータへのアクセスについては、「直接接続されたコンソールを使用して CLI にアクセスする方法」（ページ 3-2）を参照してください。

コンソール ポートの処理について

コンソール ポートを使用してルータにアクセスすると、デフォルトで自動的に IOS コマンドライン インターフェイスに導かれます。

コンソールポート経由でルータにアクセスするとき、IOS CLI に接続する前にブレーク信号を送信すると（ブレーク信号を送信するには、Ctrl-C または Ctrl-Shift-6 を押すか、Telnet プロンプトで send break コマンドを入力します）、非 RPIOS サブパッケージにアクセスできる場合、デフォルトで診断モードに誘導されます。

これらの設定を変更するには、コンソール ポートに設定したトランスポート マップをコンソール インターフェイスに適用します。

Cisco ASR 1000 シリーズ ルータでの Telnet と SSH の概要

Cisco ASR 1000 シリーズ ルータ上の Telnet およびセキュアシェル（SSH）を、他のシスコプラットフォームの Telnet および SSH と同様に設定して操作することができます。従来の Telnet については、次の URL でアクセスできる『 Cisco IOS Terminal Services Command Reference guide 』ガイドで line コマンドを参照してください。http://www.cisco.com/en/US/docs/ios/12_2/termserv/command/reference/trflosho.html#wp1029818 [英語]

従来の SSH の設定については、次の URL でアクセスできる『Cisco IOS Security Configuration Guide』の「Configuring Secure Shell」の章を参照してください。http://www.cisco.com/en/US/docs/ios/12_2/security/configuration/guide/scfssh.html [英語]

Cisco ASR 1000 シリーズ ルータでは、持続性 Telnet と持続性 SSH も導入されています。持続性 Telnet および持続性 SSH を使用することで、ユーザーが Telnet や SSH を使って管理イーサネットポート経由でルータにアクセスするときに、ネットワーク管理者は着信トラフィックの処理をより明確に定義できます。特に、持続性 Telnet および持続性 SSH では、IOS プロセスに障害が発生しても、Telnet または SSH を使用してイーサネット管理ポート経由でアクセスできるようにルータを設定できるため、より安定したネットワークアクセスが実現します。

持続性 Telnet および持続性 SSH の概要

従来のシスコルータでは、IOS に障害が発生した場合、Telnet または SSH を使用してルータにアクセスすることは不可能でした。従来のシスコ ルータで Cisco IOS の障害が発生した場合、ルータにアクセスする方法はコンソール ポートを介する方法しかありません。同様に、持続性 Telnet や持続性 SSH を使用しない Cisco ASR 1000 ルータ上のすべてのアクティブな IOS プロセスで障害が発生した場合は、コンソールポート経由でしかルータにアクセスできません。

他方、持続性 Telnet や持続性 SSH を使用すると、管理イーサネット インターフェイスの着信 Telnet トラフィックまたは SSH トラフィックの処理を定義するトランスポートマップを設定できます。

持続性 Telnet または持続性 SSH トランスポートマップを使用して設定できる他のさまざまなオプションについては、「持続性 Telnet の設定」と「持続性 SSH の設定」を参照してください。

コンソール ポートのトランスポート マップの設定

このタスクでは、Cisco ASR 1000 シリーズ ルータ上のコンソール ポート インターフェイスでトランスポートマップを設定する方法について説明します。

手順の概要

  1. enable
  2. configure terminal
  3. transport-map type console transport-map-name
  4. connection wait [allow interruptible | none ]
  5. exit
  6. transport type console console-line-number input transport-map-name

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Router> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

transport-map type console transport-map-name

例:


Router(config)# transport-map type console consolehandler

コンソール接続を処理するためのトランスポートマップを作成して名前を付け、トランスポート マップ コンフィギュレーション モードを開始します。

ステップ 4

connection wait [allow interruptible | none ]

例:


Router(config-tmap)# connection wait none

例:

コンソール接続を処理する方法を、このトランスポートマップで指定します。

  • allow interruptible ：コンソール接続は IOS VTY 回線が使用可能になるのを待機します。またユーザーは、IOS VTY 回線が使用可能になるのを待機しているコンソール接続に割り込むことにより、診断モードを開始できます。これがデフォルト設定です。

（注）  

 
Ctrl-C または Ctrl-Shift-6 を入力すると、ユーザーは待機中の接続に割り込むことができます。
  • none ：コンソール接続はただちに診断モードを開始します。

ステップ 5

exit

例:


Router(config-tmap)# exit

トランスポート マップ コンフィギュレーション モードを終了して、グローバル コンフィギュレーション モードを再開します。

ステップ 6

transport type console console-line-number input transport-map-name

例:

例:


Router(config)# transport type console 0 input consolehandler

トランスポート マップで定義された設定をコンソール インターフェイスに適用します。

このコマンドの transport-map-name は、transport-map type console コマンドで定義された transport-map-name と一致する必要があります。

例

次に、コンソールポートのアクセスポリシーを設定するためのトランスポートマップを作成してコンソールポート 0 に接続する例を示します。 


Router(config)# transport-map type console consolehandler
Router(config-tmap)# connection wait allow interruptible
Router(config-tmap)# exit
Router(config)# transport type console 0 input consolehandler

持続性 Telnet の設定

このタスクでは、Cisco ASR 1000 シリーズ ルータで持続性 Telnet を設定する方法について説明します。

始める前に

Cisco ASR 1000 シリーズ ルータ上の IOS VTY 回線にアクセスする持続性 Telnet の場合、VTY 回線用にローカルログイン認証が設定されている必要があります（回線コンフィギュレーション モードでの login コマンド）。ローカルログイン認証が設定されていない場合、ユーザーは、トランスポートマップが適用された管理イーサネット インターフェイスへの Telnet 接続を使用して IOS にアクセスすることはできません。

手順の概要

  1. enable
  2. configure terminal
  3. transport-map type persistent telnet transport-map-name
  4. connection wait [allow {interruptible }| none {disconnect }]
  5. transport interface gigabitethernet 0
  6. exit
  7. transport type persistent telnet input transport-map-name

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Router> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

transport-map type persistent telnet transport-map-name

例:


Router(config)# transport-map type persistent telnet telnethandler

持続性 Telnet 接続を処理するためのトランスポート マップを作成して名前を付け、トランスポート マップ コンフィギュレーション モードを開始します。

ステップ 4

connection wait [allow {interruptible }| none {disconnect }]

例:


Router(config-tmap)# connection wait none

例:

このトランスポート マップを使用して持続性 Telnet 接続を処理する方法を指定します。

  • allow ：Telnet 接続は、IOS VTY 回線が使用可能になるのを待機し、割り込みがあるとルータとの接続を終了します。
  • allow interruptible ：Telnet 接続は IOS VTY 回線が使用可能になるのを待機します。またユーザーは、IOS VTY 回線が使用可能になるのを待機している Telnet 接続に割り込むことにより、診断モードを開始できます。これがデフォルト設定です。

（注）  

 
Ctrl-C または Ctrl-Shift-6 を入力すると、ユーザーは待機中の接続に割り込むことができます。
  • none ：Telnet 接続はただちに診断モードを開始します。
  • none disconnect ：Telnet 接続は IOS VTY 回線を待機せず、診断モードを開始しません。そのため、IOS ソフトウェアで VTY 回線が即時に使用可能にならなければ、すべての Telnet 接続が拒否されます。

ステップ 5

transport interface gigabitethernet 0

例:


Router(config-tmap)# transport interface gigabitethernet 0

管理イーサネット インターフェイス（インターフェイス gigabitethernet 0）に、トランスポートマップ設定を適用します。

持続性 Telnet は、Cisco ASR 1000 ルータの管理イーサネット インターフェイスのみに適用可能です。管理イーサネット インターフェイスにトランスポートマップを適用する前に、このステップを実行する必要があります。

ステップ 6

exit

例:


Router(config-tmap)# exit

トランスポート マップ コンフィギュレーション モードを終了して、グローバル コンフィギュレーション モードを再開します。

ステップ 7

transport type persistent telnet input transport-map-name

例:

例:


Router(config)# transport type persistent telnet input telnethandler

トランスポートマップで定義された設定を管理イーサネット インターフェイスに適用します。

このコマンドの transport-map-name は、transport-map type persistent telnet コマンドで定義された transport-map-name と一致する必要があります。

例

次の例では、トランスポートマップの設定により、すべての Telnet 接続は IOS XE VTY 回線が使用可能になるまで待機した後でルータに接続します。その間、ユーザーはこのプロセスに割り込んで、診断モードを開始できます。このような設定が管理イーサネット インターフェイス（interface gigabitethernet 0）に適用されます。

transport type persistent telnet input コマンドが入力され、持続性 Telnet が有効になると、トランスポートマップがインターフェイスに適用されます。 


Router(config)# transport-map type persistent telnet telnethandler
Router(config-tmap)# connection wait allow interruptible
Router(config-tmap)# transport interface gigabitethernet 0
Router(config-tmap)# exit
Router(config)# transport type persistent telnet input telnethandler

持続性 SSH の設定

このタスクでは、Cisco ASR 1000 シリーズ ルータで持続性 SSH を設定する方法を説明します。

手順の概要

  1. enable
  2. configure terminal
  3. transport-map type persistent ssh transport-map-name
  4. connection wait [allow {interruptible }| none {disconnect }]
  5. rsa keypair-name rsa-keypair-name
  6. authentication-retries number-of-retries
  7. time-out timeout-interval
  8. transport interface gigabitethernet 0
  9. exit
  10. transport type persistent ssh input transport-map-name

手順の詳細

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Router> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Router# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

transport-map type persistent ssh transport-map-name

例:


Router(config)# transport-map type persistent ssh sshhandler

持続性 SSH 接続を処理するためのトランスポート マップを作成して名前を付け、トランスポート マップ コンフィギュレーション モードを開始します。

ステップ 4

connection wait [allow {interruptible }| none {disconnect }]

例:


Router(config-tmap)# connection wait allow interruptible

例:

持続性 SSH 接続を処理する方法を、このトランスポート マップで指定します。

  • allow ：SSH 接続は、VTY 回線が使用可能になるのを待機し、割り込みがあるとルータとの接続を終了します。
  • allow interruptible ：SSH 接続は VTY 回線が使用可能になるのを待機します。またユーザーは、VTY 回線が使用可能になるのを待機している SSH 接続に割り込むことにより、診断モードを開始できます。これがデフォルト設定です。

（注）  

 
Ctrl-C または Ctrl-Shift-6 を入力すると、ユーザーは待機中の接続に割り込むことができます。
  • none ：SSH 接続はただちに診断モードを開始します。
  • none disconnect ：SSH 接続は IOS からの VTY 回線を待機せず、診断モードを開始しません。そのため、VTY 回線が即時に使用可能にならなければ、すべての SSH 接続が拒否されます。

ステップ 5

rsa keypair-name rsa-keypair-name

例:


Router(config-tmap)# rsa keypair-name sshkeys

持続性 SSH 接続に使用される Rivest, Shamir, Adelman（RSA）キーペアに名前を付けます。

持続性 SSH 接続では、トランスポート マップ コンフィギュレーション モードでこのコマンドを使用して、RSA キーペアの名前を定義する必要があります。ルータの他のコマンド（ip ssh rsa keypair-name コマンドを使用するなど）で定義された RSA キーペアの定義は、持続性 SSH 接続に適用されません。

デフォルトでは rsa-keypair-name は定義されていません。

ステップ 6

authentication-retries number-of-retries

例:


Router(config-tmap)# authentication-retries 4

（任意）接続をドロップするまでの認証リトライ数を指定します。

デフォルトの number-of-retries は、3 です。

ステップ 7

time-out timeout-interval

例:


Router(config-tmap)# time-out 30

（オプション）SSH タイムアウト間隔を秒単位で指定します。

デフォルトの timeout-interval は、120 秒です。

ステップ 8

transport interface gigabitethernet 0

例:


Router(config-tmap)# transport interface gigabitethernet 0

管理イーサネット インターフェイス（インターフェイス gigabitethernet 0）に、トランスポートマップ設定を適用します。

持続性 SSH は、Cisco ASR 1000 ルータの管理イーサネット インターフェイスのみに適用可能です。

ステップ 9

exit

例:


Router(config-tmap)# exit

トランスポート マップ コンフィギュレーション モードを終了して、グローバル コンフィギュレーション モードを再開します。

ステップ 10

transport type persistent ssh input transport-map-name

例:

例:


Router(config)# transport type persistent ssh input sshhandler

トランスポートマップで定義された設定を管理イーサネット インターフェイスに適用します。

このコマンドの transport-map-name は、transport-map type persistent ssh コマンドで定義された transport-map-name と一致する必要があります。

例

次の例では、トランスポートマップの設定によってすべての SSH 接続が VTY 回線のアクティブ化を待機した後で、設定対象のルータに接続します。このトランスポートマップ設定は管理イーサネット インターフェイス（インターフェイス gigabitethernet 0）に適用されます。RSA キーペアには、sshkeys という名前が付けられています。

この例では、持続性 SSH の設定に必要なコマンドだけを使用しています。 


Router(config)# transport-map type persistent ssh sshhandler
Router(config-tmap)# connection wait allow
Router(config-tmap)# rsa keypair-name sshkeys
Router(config-tmap)# transport interface gigabitethernet 0

次の例では、トランスポートマップの設定により、SSH 経由で管理イーサネットポートへのアクセスを試みるすべてのユーザーに次の設定が適用されます。

  • SSH を使用するユーザーは VTY 回線がアクティブになるのを待機しますが、VTY 回線を介した IOS ソフトウェアへのアクセス試行が中断されると、診断モードが開始されます。
  • RSA キーペアの名前は sshkeys です。
  • この接続により、1 回の認証リトライが許可されます。
  • 接続が VTY 回線のアクティブ化を待機している場合、「--Waiting for vty line--」というバナーが表示されます。

transport type persistent ssh input コマンドが入力され、持続性 SSH が有効になると、トランスポートマップがインターフェイスに適用されます。 


Router(config)# transport-map type persistent ssh sshhandler
Router(config-tmap)# connection wait allow interruptible
Router(config-tmap)# rsa keypair-name sshkeys
Router(config-tmap)# authentication-retries 1


Router(config-tmap)#banner wait X
Enter TEXT message.  End with the character 'X'.
--Waiting for vty line--
X
Router(config-tmap)# 
time-out 30
Router(config-tmap)# transport interface gigabitethernet 0
Router(config-tmap)# exit
Router(config)# transport type persistent ssh input sshhandler

コンソール ポート、SSH、および Telnet の処理設定の表示

show transport-map all name transport-map-name | type console persistent ssh telnet ]]] EXEC または特権 EXEC コマンドを使用してトランスポートマップの設定を表示します。

次に、コンソールポート、持続性 SSH、および持続性 Telnet トランスポートをルータに設定し、さまざまな形式の show transport-map コマンドを入力する例を示します。トランスポートマップの設定情報を収集するために、さまざまな方法で show transport-map コマンドを入力できます。 


Router# show transport-map all
Transport Map:
  Name: consolehandler
  Type: Console Transport
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for the IOS CLI
 
Transport Map:
  Name: sshhandler
  Type: Persistent SSH Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS prompt
  
SSH:
  Timeout: 120
  Authentication retries: 5
  RSA keypair: sshkeys
Transport Map:
  Name: telnethandler
  Type: Persistent Telnet Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS process
  
Transport Map:
  Name: telnethandling1
  Type: Persistent Telnet Transport
Connection:
  Wait option: Wait Allow
Router# show transport-map type console
Transport Map:
  Name: consolehandler
  Type: Console Transport
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for the IOS CLI
  
Router# show transport-map type persistent ssh
Transport Map:
  Name: sshhandler
  Type: Persistent SSH Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS prompt
  
SSH:
  Timeout: 120
  Authentication retries: 5
  RSA keypair: sshkeys
Router# show transport-map type persistent telnet
 
Transport Map:
  Name: telnethandler
  Type: Persistent Telnet Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS process
  
Transport Map:
  Name: telnethandling1
  Type: Persistent Telnet Transport
Connection:
  Wait option: Wait Allow
Router# show transport-map name telnethandler 
Transport Map:
  Name: telnethandler
  Type: Persistent Telnet Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS process
  
Router# show transport-map name consolehandler
Transport Map:
  Name: consolehandler
  Type: Console Transport
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for the IOS CLI
  
Router# show transport-map name sshhandler
Transport Map:
  Name: sshhandler
  Type: Persistent SSH Transport
Interface:
  GigabitEthernet0
Connection:
  Wait option: Wait Allow Interruptable
  Wait banner: 
Waiting for IOS prompt
  
SSH:
  Timeout: 120
  Authentication retries: 5
  RSA keypair: sshkeys
Router#

着信コンソールポート、SSH、および Telnet 接続の処理に関する現行設定を表示するには、show platform software configuration access policy コマンドを使用できます。このコマンドの出力には、各接続タイプの現在の待機ポリシーと、現在設定されているバナーの情報が示されます。 


Router# show platform software configuration access policy 
The current access-policies
Method      : telnet
Rule        : wait
Shell banner: 
Wait banner : 
Method      : ssh
Rule        : wait
Shell banner: 
Wait banner : 
Method      : console
Rule        : wait with interrupt
Shell banner: 
Wait banner :

次の例では、持続性 SSH トランスポートマップの接続ポリシーとバナーが設定され、設定されたトランスポートマップが有効化されます。

show platform software configuration access policy の出力は、新しいトランスポートマップが有効になる前と有効になった後の両方に表示されるため、SSH 設定の変更が出力に示されます。 


Router# show platform software configuration access policy
 
The current access-policies
Method      : telnet
Rule        : wait with interrupt

Wait banner : 
Waiting for IOS Process
Method      : ssh
Rule        : wait
Shell banner: 
Wait banner : 
Method      : console
Rule        : wait with interrupt
Shell banner: 
Wait banner : 
Router# configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)# transport-map type persistent ssh sshhandler
Router(config-tmap)# connection wait allow interruptible

Router(config-tmap)# rsa keypair-name sshkeys
Router(config-tmap)# transport interface gigabitethernet 0
Router(config-tmap)# exit
Router(config)# transport type persistent ssh input sshhandler 
Router(config)# exit
Router# show platform software configuration access policy
The current access-policies
Method      : telnet
Rule        : wait with interrupt

Wait banner : 
Waiting for IOS process
Method      : ssh
Rule        : wait with interrupt

Wait banner : 
Waiting for IOS
Method      : console
Rule        : wait with interrupt
Shell banner: 
Wait banner :

重要な注意事項と制約事項

コンソールポート、SSH、および Telnet の処理に関する重要な注意事項と制約事項は次のとおりです。

  • トランスポートマップが管理イーサネット インターフェイスに適用されるとき、トランスポートマップでの Telnet および SSH 設定は、他のすべての Telnet および SSH 設定をオーバーライドします。
  • 管理イーサネット インターフェイスを開始するユーザーの認証に使用できるのは、ローカルユーザー名とパスワードのみです。持続性 Telnet または持続性 SSH を使用して管理イーサネット インターフェイス経由でルータにアクセスするユーザーは、AAA 認証を使用できません。
  • アクティブな Telnet または SSH セッションがある管理イーサネット インターフェイスにトランスポートマップを適用すると、アクティブセッションが切断される可能性があります。他方、インターフェイスからトランスポートマップを削除すると、アクティブな Telnet セッションまたは SSH セッションの接続は切断されません。