Login-Einstellungen

Standardmäßig Junos OS wird keine Anmeldemeldung oder -ankündigung angezeigt. Sie können das Gerät so konfigurieren, dass eine Anmeldemeldung oder -ankündigung angezeigt wird, indem Sie die message Anweisung oder die announcement Anweisung auf Hierarchieebene [edit system login] einfügen. Während das Gerät eine Anmeldung anzeigt, nachdem ein Benutzer eine Verbindung mit dem Gerät hergestellt hat, aber bevor sich der Benutzer anmeldet, wird erst dann eine announcement angezeigtmessage , nachdem sich der Benutzer erfolgreich am Gerät angemeldet hat.

Sie können den Nachrichten- oder Ankündigungstext mit den folgenden Sonderzeichen formatieren. Wenn der Text Leerzeichen enthält, schließen Sie ihn in Anführungszeichen ein:

• \n—Neue Zeile

• \t – Horizontale Registerkarte

• \': Einfaches Anführungszeichen

• \" – Doppeltes Anführungszeichen

• \\—Backslash

So konfigurieren Sie eine Ansage, die nur autorisierten Benutzern angezeigt werden kann, und eine Meldung, die jeder Benutzer sehen kann:

Sie können Geräte von Juniper Networks so konfigurieren, dass der show system alarms Befehl immer dann ausgeführt wird, wenn sich ein Benutzer in einer bestimmten Anmeldeklasse beim Gerät anmeldet.

So zeigen Sie Alarme an, wenn sich ein Benutzer in einer bestimmten Anmeldeklasse am Gerät anmeldet:

Sie können die CLI so konfigurieren, dass ein Junos OS Tipp angezeigt wird, wenn sich ein Benutzer in der angegebenen Anmeldeklasse beim Gerät anmeldet. Das Gerät zeigt standardmäßig keine Tipps an.

So aktivieren Sie Tipps:

Eine Anmeldesitzung im Leerlauf ist eine Sitzung, in der die CLI die Eingabeaufforderung für den Betriebsmodus oder den Konfigurationsmodus anzeigt, aber keine Eingabe über die Tastatur erfolgt. Standardmäßig bleibt eine Anmeldesitzung so lange eingerichtet, bis sich ein Benutzer vom Gerät abmeldet, auch wenn sich diese Sitzung im Leerlauf befindet. Um Leerlaufsitzungen automatisch zu schließen, müssen Sie für jede Anmeldeklasse ein Zeitlimit konfigurieren. Wenn eine Sitzung, die von einem Benutzer in dieser Klasse eingerichtet wurde, für das konfigurierte Zeitlimit inaktiv bleibt, wird die Sitzung automatisch geschlossen. Durch das automatische Schließen von Anmeldesitzungen im Leerlauf wird verhindert, dass böswillige Benutzer Zugriff auf das Gerät erhalten und Vorgänge mit einem autorisierten Benutzerkonto ausführen.

Sie können ein Leerlauftimeout nur für benutzerdefinierte Klassen konfigurieren. Sie können diese Option nicht für die vom System vordefinierten Klassen konfigurieren: operator, read-only, oder superuser, und unauthorized. super-user

So definieren Sie den Timeout-Wert für Anmeldesitzungen im Leerlauf:

Sie können begrenzen, wie oft ein Benutzer versuchen kann, ein Kennwort einzugeben, während er sich über SSH oder Telnet bei einem Gerät anmeldet. Das Gerät beendet die Verbindung, wenn sich ein Benutzer nach der angegebenen Anzahl von Versuchen nicht anmelden kann. Sie können auch eine Verzögerung in Sekunden angeben, bevor ein Benutzer nach einem fehlgeschlagenen Versuch versuchen kann, ein Kennwort einzugeben. Darüber hinaus können Sie den Schwellenwert für die Anzahl der fehlgeschlagenen Versuche angeben, bevor der Benutzer eine Verzögerung bei der erneuten Eingabe eines Kennworts erfährt.

Um anzugeben, wie oft ein Benutzer versuchen kann, bei der Anmeldung ein Kennwort einzugeben, fügen Sie die retry-options Anweisung auf Hierarchieebene [edit system login] ein:

Sie können die folgenden Optionen konfigurieren:

• tries-before-disconnect– Maximale Häufigkeit, mit der ein Benutzer ein Kennwort eingeben kann, wenn er sich über SSH oder Telnet beim Gerät anmeldet. Die Verbindung wird geschlossen, wenn sich ein Benutzer nach der angegebenen Nummer nicht anmelden kann. Der Bereich liegt zwischen 1 und 10, und der Standardwert ist 3.

• backoff-threshold– Schwellenwert für die Anzahl der fehlgeschlagenen Anmeldeversuche, bevor der Benutzer eine Verzögerung bei der erneuten Eingabe eines Kennworts erfährt. Der Bereich liegt zwischen 1 und 3, und der Standardwert ist 2. Verwenden Sie die backoff-factor Option, um die Länge der Verzögerung anzugeben.

• backoff-factor– Zeitspanne in Sekunden, die der Benutzer nach einem fehlgeschlagenen Anmeldeversuch oberhalb von . backoff-threshold Die Verzögerung erhöht sich um den angegebenen Wert für jeden weiteren Versuch nach dem backoff-threshold Wert. Der Bereich liegt zwischen 5 und 10, und der Standardwert ist 5 Sekunden.

• lockout-period– Zeitspanne in Minuten, die ein Benutzerkonto nach Erreichen des Schwellenwerts tries-before-disconnect gesperrt wird. Der Bereich reicht von 1 bis 43.200 Minuten.

• maximum-time seconds– Maximale Zeitspanne (in Sekunden), für die die Verbindung geöffnet bleibt, damit der Benutzer einen Benutzernamen und ein Kennwort eingeben muss, um sich anzumelden. Wenn der Benutzer im Leerlauf bleibt und keinen Benutzernamen und kein Kennwort innerhalb der konfigurierten maximum-time, wird die Verbindung geschlossen. Der Bereich liegt zwischen 20 und 300 Sekunden, der Standardwert ist 120 Sekunden.

• minimum-time– Minimale Zeitspanne in Sekunden, die eine Verbindung geöffnet bleibt, während ein Benutzer versucht, ein korrektes Kennwort einzugeben. Der Bereich liegt zwischen 20 und 60, und der Standardwert ist 20 Sekunden.

Die Begrenzung der Anzahl der SSH- und Telnet-Anmeldeversuche pro Benutzer ist eine der effektivsten Methoden, um zu verhindern, dass Brute-Force-Angriffe Ihre Netzwerksicherheit gefährden. Brute-Force-Angreifer führen in kurzer Zeit eine Vielzahl von Anmeldeversuchen aus, um sich unrechtmäßig Zugang zu einem privaten Netzwerk zu verschaffen. Durch die Konfiguration der retry-options Anweisungen können Sie nach jedem fehlgeschlagenen Anmeldeversuch eine zunehmende Verzögerung erzeugen, wodurch schließlich alle Benutzer getrennt werden, die den von Ihnen festgelegten Schwellenwert für Anmeldeversuche überschreiten.

So begrenzen Sie die Anmeldeversuche, wenn sich ein Benutzer über SSH oder Telnet anmeldet: