VIDEO 05 - Esploriamo i comandi per la configurazione di base di uno switch
Password console, enable secret, criptazione password, banner MOTD e salvataggio della configurazione: i 4 comandi di hardening che devi fare su OGNI switch Cisco prima di configurare VLAN o trunking.
2. Di cosa parla questo video
In questo tutorial ti guiderò nella soluzione di una Packet Tracer Activity che riguarda la configurazione base di uno switch Cisco Catalyst 2960. Partiamo da uno switch appena acceso, senza configurazione, e applichiamo tutte le impostazioni minime di sicurezza che si fanno in azienda prima di metterlo in produzione.
Vedrai come entrare in modalità privilegiata, dare un hostname riconoscibile, proteggere l'accesso console, criptare tutte le password in chiaro, inserire un banner MOTD (Message of the Day) per avvisi legali e salvare tutto nella NVRAM. È la checklist che ripeterai identica su router e switch per i prossimi 2 anni.
Ragazzi, vedo troppi file .pkt con switch chiamati ancora "Switch" e senza password. In laboratorio vi chiedo sempre le stesse 4 cose all'inizio: hostname, password console, enable secret e motd. Se le dimenticate, l'attività è incompleta anche se i ping vanno. In questo video vi mostro l'ordine esatto che uso in classe per non dimenticare nulla e per superare i check automatici di Packet Tracer.
3. Obiettivi di apprendimento
- ✅ Proteggere le linee console con password e abilitare il login obbligatorio
- ✅ Criptare le password in chiaro con service password-encryption
- ✅ Inserire un MOTD (Message of the Day) per avvisi e policy di accesso
- ✅ Salvare la configurazione attuale (running-config) in quella di startup (startup-config)
Alla fine sarai in grado di prendere uno switch vergine in Packet Tracer, configurarlo in 2 minuti con hostname, password console, enable secret, banner MOTD e salvataggio. Saprai anche verificare con show running-config e show startup-config che tutto sia salvato correttamente. È la base obbligatoria per le lezioni su VLAN, trunk e port-security.
4. Perché configurare uno switch appena acceso
Uno switch Cisco appena uscito dalla scatola non ha password: chiunque si collega via console entra direttamente in EXEC privilegiato. In produzione è inaccettabile.
| Stato | Switch vergine | Switch configurato base |
|---|---|---|
| Hostname | Switch | SW-Aula-01 (identificabile) |
| Accesso console | Nessuna password | Password + login richiesti |
| Password in config | In chiaro | Criptate con service password-encryption |
| Enable | Nessuna o in chiaro | enable secret (hash MD5) |
| Banner | Assente | MOTD con avviso legale |
| Salvataggio | Perso al riavvio | Salvato in NVRAM |
Se a un colloquio vi chiedono "Cosa configuri per primo su uno switch?", rispondete: "Hostname per identificarlo, password console e enable secret per proteggerlo, service password-encryption per non lasciare password in chiaro, banner MOTD per policy, e copy running-config startup-config per rendere persistente. Poi passo a VLAN e porte". Fate capire che conoscete hardening di base.
5. I comandi fondamentali - Passo passo
Ordine che uso in classe, identico a quello del video:
enable secret crea hash MD5, molto più sicuro di enable password. line console 0 + password + login obbliga a inserire password quando ti colleghi col cavo console azzurro. service password-encryption oscura tutte le password in chiaro nel file di config (non è sicurezza forte, ma evita shoulder surfing). banner motd #...# il carattere # è delimitatore, puoi usare qualsiasi carattere non presente nel testo.
6. Soluzione Packet Tracer Activity in video
Nel video vediamo passo passo l'activity ufficiale:
- Apertura file .pka con switch e PC già cablati
- Accesso via tab CLI dello switch in Packet Tracer
- Configurazione hostname da "Switch" a "S1" o nome richiesto
- Impostazione enable secret e password console come da consegna
- Abilitazione service password-encryption e verifica con show run
- Creazione banner MOTD con delimitatori
- Salvataggio con copy run start e verifica punteggio 100% in Check Results
Packet Tracer Activity controlla ESATTAMENTE la stringa del banner MOTD. Se nel testo manca uno spazio o usi delimitatore diverso da quello richiesto nella consegna, il check fallisce anche se il comando è giusto. Copia il testo MOTD dalla consegna parola per parola. Nel video ti faccio vedere dove leggerlo.
7. Errori comuni da evitare
- Dimenticare login sotto line console 0: metti password ma senza login non viene chiesta. Sempre coppia password + login.
- Usare enable password invece di enable secret: enable password resta reversibile, secret è hash. Usa sempre secret.
- Non criptare le password: senza service password-encryption, show running-config mostra password in chiaro. Errore grave in verifica.
- Dimenticare copy run start: riavvii Packet Tracer e perdi tutto. Il comando salva in NVRAM. Scorciatoia: wr (write memory) fa la stessa cosa.
- Banner senza delimitatore finale: dopo aver scritto il messaggio devi richiudere con stesso carattere di apertura (#). Se non lo chiudi, IOS resta in attesa.
8. Approfondimento: startup-config vs running-config
Questo è il concetto chiave del video che collega alla lezione teorica sugli switch:
Nel video ti mostro cosa succede se modifichi running ma non salvi: al reload dello switch torni alla vecchia configurazione. Per questo il quarto obiettivo è salvare.
📚 Compito per casa
Apri Packet Tracer, aggiungi uno switch 2960, configurarlo da zero con: hostname SW-CASA, enable secret MioSegreto123, console password Console123 con login, service password-encryption, banner MOTD "Solo personale autorizzato - Lab Giagnotti" e salva. Poi fai show run e verifica che le password siano criptate (tipo 7) e che enable sia tipo 5. Mandami screenshot del risultato.