Interface VTY expliquée : Terminal virtuel pour gestion réseau à distance
Une interface VTY (Virtual TeletYpe) est une ligne terminale logicielle sur équipement réseau (routeur, commutateur, pare-feu) permettant l'accès CLI distant via le réseau. Contrairement ports console/aux physiques, VTYs n'existent que dans l'OS — créées dynamiquement à connexion session distante.
Caractéristiques clés
- Virtuelle : Pas port hardware. Jusqu'à centaines configurables (ex.
line vty 0 15= 16 sessions simultanées). - Protocoles transport : SSH (sécurisé, standard), Telnet (insécurisé, déprécié), parfois HTTP/HTTPS (web CLI).
- Authentification : Base utilisateurs locale, AAA (RADIUS/TACACS+), ou mot de passe ligne.
- Contrôle accès : Access-class (IPv4), IPv6 access-class, groupes rotatifs, restrictions transport input.
- Paramètres session : Timeout (exec-timeout), largeur/longueur, logging synchronous, taille historique.
Configuration Cisco IOS typique
line vty 0 15
transport input ssh ! Désactive telnet
login authentication AAA_LIST ! Utilise AAA (TACACS+/RADIUS)
exec-timeout 10 0 ! Timeout inactivité 10 min
logging synchronous ! Empêche messages log casser input
length 0 ! Pas pagination
access-class MGMT_ACL in ! Restreint IPs sources (IPv4)
ipv6 access-class MGMT_V6 in ! Restreint IPs sources (IPv6)
Pourquoi VTYs essentiels
- Gestion distante : Admins configurent/supervisent équipements depuis NOC/SOC sans présence physique.
- Automatisation : Ansible, Netmiko, NAPALM, Terraform connectent via SSH lignes VTY.
- Scalabilité : Centaines sessions concurrentes possibles (limité CPU/mémoire).
- Granularité sécurité : ACLs par ligne, niveaux privilèges par utilisateur (0–15), CoA (Changement Autorisation).
VTY vs Console vs Aux
| Port | Type | Cas usage | Sécurité |
|---|---|---|---|
| Console (CON) | Physique (RJ45/USB) | Config initiale, reprise sinistre, récupération mot de passe | Accès physique requis |
| Auxiliaire (AUX) | Physique (modem asynchrone) | Gestion secours commuté legacy | Physique + auth modem |
| VTY | Virtuelle (TCP) | Admin distant quotidien, automatisation, supervision | AAA, ACL, clés SSH, MFA |
Bonnes pratiques
- SSH uniquement :
transport input ssh. Générer clés RSA/ECDSA ≥ 2048/256 bits. - AAA + TACACS+ : Autorisation commandes centralisée & accounting.
- Management Plane Protection (MPP) : Restreindre VTY à VRF/interface dédiée gestion.
- Limiter nombre VTY : Seulement nécessaire (ex. 0–4 ou 0–15).
- Bannière/Avertissement connexion : Avis légal selon politique.
Conclusion
Les interfaces VTY sont le point d'entrée principal plan de contrôle distant infrastructure réseau. Les sécuriser rigoureusement : SSH, AAA, ACLs IP sources, MPP, surveillance tentatives force brute.