Pourquoi configurer les lignes VTY sur un commutateur réseau ?

Les lignes Virtual TeletYpe (VTY) sont les interfaces logiques qui acceptent les connexions de gestion à distance entrantes (Telnet, SSH) vers un commutateur ou routeur Cisco. Les configurer est essentiel pour une administration réseau sécurisée, responsable et évolutive.

Raisons clés de configurer les lignes VTY

1. Accès distant sécurisé
   • Imposer SSH (transport input ssh) et désactiver Telnet en clair.
   • Appliquer ACL access-class pour restreindre IPs sources (ex. sous-réseau gestion seulement).
   • Définir mots de passe forts ou, de préférence, intégrer AAA (RADIUS/TACACS+) pour authentification centralisée.
2. Sessions administrateur simultanées
   • Défaut : 5 lignes VTY (0–4). Augmentez avec line vty 0 15 pour jusqu'à 16 sessions simultanées, permettant collaboration équipe pendant changements ou pannes.
3. Contrôle privilèges CLI complet
   • Attribuer niveaux privilèges par ligne ou par utilisateur via AAA, limitant commandes (ex. helpdesk show-only, ingénieurs seniors config).
4. Journalisation et audit sessions
   • Activer logging synchronous, exec-timeout, session-limit. Combiné avec comptabilité AAA, chaque commande est journalisée pour conformité et forensique.
5. Gestion distante sites distribués
   • Élimine besoin accès console physique succursales, réduisant MTTR et coûts déplacements.
6. Atténuation DoS
   • Définir exec-timeout (ex. 5 min) et login block-for pour prévenir sessions inactives et force brute occupant toutes VTY.

Base sécurisée minimale (IOS/IOS-XE)

line vty 0 15
 transport input ssh
 access-class MGMT_ACL in
 exec-timeout 5 0
 login authentication AAA_LOGIN
 privilege 15
 logging synchronous

Une configuration VTY correcte est une étape fondamentale de durcissement réseau.