ログイン設定

デフォルトでは、Junos OS はログイン メッセージやお知らせを表示しません。[edit system login]階層レベルでmessageステートメントまたはannouncementステートメントを含めることで、ログインメッセージまたはお知らせを表示するようにデバイスを設定できます。一方、デバイスは、ユーザーがデバイスに接続した後、ユーザーがログインする前にログインmessageを表示しますが、ユーザーがデバイスに正常にログインした後にのみannouncementが表示されます。

メッセージやお知らせのテキストは、以下の特殊文字を使用して書式設定できます。テキストにスペースが含まれている場合は、引用符で囲みます。

• \n—改行

• \t—水平タブ

• \' - 単一引用符

• \" - 二重引用符

• \\—バックスラッシュ

承認されたユーザーのみが表示できるお知らせと、すべてのユーザーに表示されるメッセージを設定するには:

特定のログインクラスのユーザーがデバイスにログインするたびに show system alarms コマンドを実行するようにジュニパーネットワークスデバイスを設定できます。

特定のログインクラスのユーザーがデバイスにログインするたびにアラームを表示するには:

特定のログインクラスのユーザーがデバイスにログインするたびにヒントを表示するように Junos OS CLIを設定できます。デフォルトでは、デバイスはヒントを表示しません。

ヒントを有効にするには:

アイドルログインセッションとは、CLIに動作モードまたは設定モードのプロンプトが表示されるが、キーボードからの入力がないセッションです。デフォルトでは、ログインセッションは、ユーザーがデバイスからログアウトするまで、そのセッションがアイドル状態であっても確立されたままになります。アイドルセッションを自動的に閉じるには、各ログインクラスに時間制限を設定する必要があります。そのクラスのユーザーが確立したセッションが設定された制限時間にわたってアイドル状態のままである場合、セッションは自動的に閉じます。アイドル状態のログインセッションを自動的に閉じることで、悪意のあるユーザーがデバイスにアクセスし、承認されたユーザーアカウントで操作を実行するのを防ぐことができます。

アイドルタイムアウトは、ユーザー定義クラスに対してのみ設定できます。このオプションは、システム定義クラス( operator、 read-only、 super-user または superuser、および unauthorized)には設定できません。

アイドルログインセッションのタイムアウト値を定義するには:

ユーザーが SSH または Telnet 経由でデバイスにログインしているときにパスワードの入力を試みる回数を制限できます。指定された試行回数を超えてもユーザーがログインに失敗すると、デバイスは接続を終了します。また、パスワードの入力が失敗した後、ユーザーがパスワードの入力を試みるまでの待ち時間を秒単位で指定することもできます。さらに、ユーザーがパスワードを再度入力できるように遅延が発生するまでの試行失敗回数のしきい値を指定できます。

ユーザーがログイン中にパスワードの入力を試みることができる回数を指定するには、[edit system login]階層レベルでretry-optionsステートメントを含めます。

以下のオプションを設定できます。

• tries-before-disconnect—SSHまたはTelnet経由でデバイスにログインするときにユーザーがパスワードを入力できる最大回数。指定された番号を超えてユーザーがログインしなかった場合、接続は閉じます。範囲は1から10で、デフォルトは3です。

• backoff-threshold—ユーザーがパスワードを再度入力できるようになるまでに遅延が発生するまでのログイン試行失敗回数のしきい値。範囲は1から3で、デフォルトは2です。 backoff-factor オプションを使用して、遅延の長さを指定します。

• backoff-factor— backoff-thresholdより上のログイン試行に失敗した後、ユーザーが待機しなければならない時間の長さ(秒単位)。この遅延は、 backoff-threshold 値以降の試行ごとに指定された値だけ増加します。範囲は5〜10で、デフォルトは5秒です。

• lockout-period— tries-before-disconnect しきい値に達した後にユーザーアカウントがロックされる時間の長さ(分単位)。範囲は 1 分から 43,200 分です。

• maximum-time seconds—ユーザーがログインするためのユーザー名とパスワードを入力して接続が開いたままになる最大時間(秒単位)。ユーザーがアイドル状態のままで、設定された maximum-time内にユーザー名とパスワードを入力しない場合、接続は閉じられます。範囲は20秒から300秒で、デフォルトは120秒です。

• minimum-time—ユーザーが正しいパスワードを入力しようとしている間、接続が開いたままになる最小時間(秒単位)。範囲は20〜60で、デフォルトは20秒です。

ユーザーごとのSSHおよびTelnetログイン試行回数を制限することは、ブルートフォース攻撃によるネットワークセキュリティの侵害を阻止する最も効果的な方法の1つです。総当たり攻撃者は、短時間で多数のログイン試行を実行して、プライベートネットワークに不正にアクセスします。 retry-options ステートメントを設定することで、ログイン試行が失敗するたびに遅延を増加させ、設定したログイン試行のしきい値を超えたユーザーを最終的に切断することができます。

ユーザーがSSHまたはTelnet経由でログインする際のログイン試行を制限するには: