pertama marilah buat topologi seperti gambar berikut :
Topologi Dasar untuk Percobaan
Mungkin ada yang bertanya, kabel apa yang berwarna biru muda tersebut? Itu adalah kabel rollover atau kabel console. Kita bisa melakukan konfigurasi dari laptop yang terhubung dengan kabel rollover pada routertersebut atau langsung melalui router tersebut.
Mari kita coba mengonfigurasi router 0 dari laptop 0. Klik laptop 0, pilih tab Desktop dan pilih Terminal. Gunakan Port Configuration standar dan klik OK. Maka tampilannya akan jadi seperti ini :
Membuka Hyper Terminal di PC
Nah, sama dengan ketika kita langsung memilih router 0 bukan?
Setelah itu masuk privileged user mode dengan mengetikkan enable dan masuk lagi ke global configuration mode dengan mengetikkan configuration terminal. Untuk lebih mudahnya, kita ubah dulu nama router 0 menjadi “routerku” dengan mengetikkan hostname routerku.
Berikan IP Address pada interface fa0/0 routerku dengan :
interface fastEthernet 0/0
ip address 192.168.0.1 255.255.255.0
no shutdown
exit
Setelah memastikan interface berjalan normal (ditandai dengan berubahnya titik merah menjadi hijau pada routerku), kita bisa melanjutkan. Untuk mengamankan routerku, ada 2 tipe pengamanan yang akan kita lakukan. Pertama, mencegah agar tidak sembarang orang bisa mengakses routerku dengan kabel rolloverdan kedua, mencegah agar tidak sembarang orang bisa mengakses routerku secara remote baik menggunakan program semacam telnet atau SSH.
Untuk memahaminya, coba pilih routerku dan masuk ke tab Physical, disana kita akan menemukan 2 port yaitu console dan auxiliary. Port console sudah kita gunakan, sementara port auxiliary berfungsi untuk menghubungkan modem dengan routerku, sehingga kita bisa melakukan konfigurasi dengan cara dialingmodem tersebut.
Physical Device View Tempat Port Console dan Port AUX Berada
Dalam percobaan ini kita akan melakukan pengamanan pada port console, karena port ini lebih mungkin disalahgunakan oleh orang lain. Masuk kembali ke global configuration mode dan ketikkan :
line console 0
password yahud
login
end
Apa yang kita lakukan dengan perintah-perintah diatas? Kita akan mengunci akses ke routerku lewat kabelconsole menggunakan password yaitu “yahud”. Sehingga kita tidak bisa masuk tanpa mengetahuipasswordnya.
Nah, itu tadi bagaimana cara mengamankan koneksi “fisikal” atau “langsung”. Bagaimana dengan aksesremote seperti Telnet dan SSH? Seperti yang kita lihat pada topologi tersebut, routerku terhubung dengan sebuah PC melalui sebuah switch.
Pertama, kita harus mengaktifkan izin koneksi remote. Tentu saja sebaiknya diberi password. Aktifkan perizinan koneksi remote dengan masuk ke global configuration mode dan masukkan perintah :
line vty 0 4
password holmes
login
end
Maka akses terminal (misalnya Telnet dan SSH) bisa dilakukan melalui PC (tentu harus diberi IP Addressyang sesuai dulu) tersebut. Masuk ke command prompt PC dan coba masuk melalui Telnet denganpassword “holmes”. Kira-kira begini hasilnya :
Masuk Secara Remote dengan Telnet
Nah, kini baik akses langsung melalui kabel console maupun akses remote sudah diberi password. Sekarang apa lagi? Kita juga harus memberi perbedaan user biasa dan privileged user. Maka berilahpassword pada proses otentifikasi privileged user mode.Untuk koneksi remote ini harus dilakukan, atau anda tidak akan bisa masuk ke privileged user mode. Lakukan dengan cara masuk ke global configuration mode dan masukkan perintah :
enable password watson
Maka kita bisa masuk ke privileged user mode dengan password “watson”, seperti pada gambar :
Masuk ke Privileged User Mode secara Remote
Tapi, sampai disinipun masih belum cukup! Jika kita melihat dengan perintah show running-config padaprivileged user mode, kita bisa melihat bahwa password kita tadi bisa ditampilkan tanpa enkripsi. Ini menyebabkan siapapun bisa mengetahuinya jika mereka sempat melihat dengan perintah ini.
Untuk menutupinya kita bisa mengenkripsi password kita dengan apa yang disebut enkripsi Type 7. Caranya adalah masuk ke global configuration mode dan masukkan perintah
Untuk menutupinya kita bisa mengenkripsi password kita dengan apa yang disebut enkripsi Type 7. Caranya adalah masuk ke global configuration mode dan masukkan perintah
service password-encryption
exit
Dan setelahnya kita periksa lagi dengan show running-config pada privilege user mode. Terlihat bahwapassword kita tadi sudah dienkripsi seperti gambar berikut :
Melihat Password yang sudah Dienkripsi Type-7
Tapi sayangnya enkripsi Type 7 ini mudah dipecahkan oleh beberapa algoritma “Cisco Password Cracking” yang biasa ada di situs-situs pemecah kode. Oleh karenanya kita lebih baik menggunakan algoritma hash MD-5 yang lebih aman.
Pertama, hapus password untuk masuk ke privileged user mode sebelumnya dengan perintah :
no enable password
exit
Lalu masuk ke global configuration mode dan masukkan perintah berikut :
enable secret Watson
Perintah sebelumnya yaitu enable passwordditambah service password encryption akan mengenkripsipassword dengan enkripsi Type 7, tapi perintah enable secret akan langsung menggunakan hash MD-5. Hasilnya bisa dicek dengan perintah show running-config pada privilege user mode :
Menggunakan MD-5 sebagai Hash
Kemudian kita akan melakukan hal yang lebih dalam lagi untuk mengamankan koneksi, yaitu memasukkan daftar user atau administrator yang bisa mengaksesrouter, menentukan batasan hak akses mereka serta pencatatan tentang siapa saja yang mengakses routertersebut.
Pertama, kita hilangkan dulu password untuk masuk ke privelage mode dengan masuk ke bagian line console :
enable
configuration terminal
line console 0
no login
Setelah menghapus otentikasi tersebut, jangan keluar dulu dari line console, mari kita lihat apa saja yang bisa kita atur dari bagian ini. Ketikkan
login ?
Maka akan keluar beberapa pilihan seperti gambar dibawah ini :
Opsi yang terdapat pada pilihan Login
Jika memilih authentication maka kita akan menggunakan pengamanan AAA, yaitu kepanjangan dariAuthentication (pengaturan sah/tidak sah dari sebuah username), Authorization (pengaturan batas hak akses suatu username) dan Accounting (pencatatan tentang username mana saja yang mengakses routertersebut). Untuk melakukan ini kita membutuhkan sebuah AAA Server, misalnya Radius Server. Tapi untuk sementara kita akan melakukan pilihan berikutnya yaitu local.
Mari kita aktifkan otentikasi tipe local ini. Masukkan perintah :
login local
end
Dan kita bisa mendaftarkan username serta password atau bahkan enkripsi yang kita inginkan. Mari kita daftarkan username sherlock. Untuk melihat atribut apa saja yang bisa kita pasangkan pada username ini, tambahkan tanda ‘?’ setelahnya :
username sherlock ?
Maka bisa kita lihat pilihan seperti gambar dibawah ini :
Opsi yang terdapat pada pilihan Username
Pilihan password sudah pasti tahu apa gunanya , kan? Pilihan privilege adalah untuk menentukan hak akses username tersebut. Sementara pilihan secret sama seperti sebelum-sebelumnya, yaitu menggunakan password terenkripsi. Kita akan menggunakan password terenkripsi :
username sherlock secret shellingford
end
Kita juga harus menghapus password otentikasi umum sebelumnya.
Password umum sebelumnya yang harus dihapus
Masuk ke global configuration mode dan masukkan perintah :
line console 0
no password
end
Sehingga bila diperiksa dengan perintah show running-config akan terlihat bahwa console memiliki tipe login local.
Sekarang keluar sepenuhnya dengan mengetikkan exit. Kemudian cobalah masuk lagi, maka kali ini anda akan diminta memasukkan username dan password seperti gambar dibawah ini :
Otentikasi username router
Password yang baik adalah password yang panjang, terdiri atas huruf, angka dan tanda baca serta tidak memiliki suatu “kata”. Nah, kita sebagai administrator utama harus mengingat hal ini. Kita bisa memberi peringatan tentang panjang minimum dari password jika seseorang ingin membuat username baru. Masuklah ke global configuration mode dan ketikkan :
security passwords min-length 8
end
Itu berarti kita menentukan panjang dari password untuk username yang akan dibuat berikutnya harus terdiri dari 8 atau lebih karakter. Sekarang masuk lagi ke global configuration mode dan buat username baru. Jika batas minimum tidak terpenuhi akan muncul peringatan seperti di bawah ini :
Peringatan ketika batas minimum password tidak terpenuhi
Sekarang kita akan melakukan pencatatan tentang siapa saja yang masuk, baik yang gagal maupun yang berhasil. Masuk ke global configuration mode dan masukkan perintah :
login on-failure log
login on-failure log
login on-success log
exit
exit
Sekarang coba masuk lagi, begitu masuk maka akan muncul notifikasi tentang siapa saja yang masuk dan siapa saja yang gagal masuk, seperti gambar di bawah :
Notifikasi tentang siapa saja yang mengakses router
Bagaimana jika seseorang mencoba menebak password kita? Kita bisa menentukan jumlah attempt(percobaan) password kita dan lama waktu blokir jika jumlah attempt tersebut terlampaui, untuk mencegahdictionary attack. Mari kita masuk ke global configuration mode dan masukkan :
login block-for 3600 attempts 5 within 60
end
Itu berarti jika ada percobaan masuk yang gagal lebih dari 5 kali dalam 60 detik, maka akses ke router akan diblokir selama 3600 detik (1 jam).
Terakhir, kita akan mengatur timeout akses ke routerku melalui kabel console, yang standarnya adalah 10 menit. Mari kita masuk ke global configuration mode dan ubah menjadi 3 menit dengan perintah :
line console 0
exec-timeout 3
end
Dan timeout akses remote akan kita ubah menjadi 4 menit :
line vty 0 4
exec-timeout 4
end
Untuk melihat konfigurasi login kita, kita bisa masuk ke privileged user mode dan memasukkan perintahshow login. Hasilnya seperti gambar dibawah :
Melihat apa saja yang sudah dikerjakan terhadap Login
Sumber : https://zweimesserschmitt.wordpress.com