Lewati ke isi

User & akses

Model login

Akun Masuk ke Dikelola lewat
root Shell Linux, lalu ketik cli set system root-authentication ...
User router Langsung CLI router (SSH maupun layar) set system login user <nama> ...

Default pabrik: hanya root dengan password kosong. Password kosong hanya bisa dipakai di console; SSH menolaknya. Installer mengatur ini sekali, pada instalasi pertama.

Password root

root@cidr# set system root-authentication plaintext-password
New password:
Retype new password:
root@cidr# commit

delete system root-authentication + commit mengembalikan root ke password kosong.

Membuat user

admin@r1# set system login user budi class operator
admin@r1# set system login user budi full-name "Budi Santoso"
admin@r1# set system login user budi authentication plaintext-password
New password:
Retype new password:
admin@r1# commit

Aturan:

  • Nama: huruf kecil, angka, -, _. Nama sistem (root, vpp, frr, …) ditolak.
  • Wajib punya class dan minimal satu password atau SSH key.
  • Password minimal 6 karakter.
  • delete system login user budi + commit ikut menghapus akun Linux-nya.

Kelas user

Kelas Boleh
super-user Semua: configure, start shell, vppctl, restart, reboot
operator show, ping, traceroute, monitor, clear, restart dataplane. Tidak bisa configure
read-only Hanya show dan monitor 
noc@r1> configure
% permission denied: 'configure' is not allowed for class read-only

Kelas dicek ulang setiap kali running config berubah. User yang diturunkan kelasnya langsung keluar dari mode konfigurasi.

SSH key

admin@r1# set system login user admin authentication ssh-ed25519 "ssh-ed25519 AAAAC3Nz... admin@laptop"
admin@r1# set system root-authentication ssh-ed25519 "ssh-ed25519 AAAAC3Nz... saya@laptop"

Didukung ssh-ed25519, ssh-rsa, dan ssh-ecdsa (beri tanda kutip). Key disimpan di /etc/cidr/ssh-keys/<user>, tanpa menyentuh ~/.ssh/authorized_keys.

SSH untuk root

admin@r1# set service ssh root-login deny-password     # default Debian: hanya key
admin@r1# set service ssh root-login deny              # root tidak boleh SSH
admin@r1# set service ssh root-login allow             # password juga boleh

Keamanan password

  • plaintext-password tidak pernah disimpan. Yang disimpan hash SHA-512 sebagai encrypted-password "..." ## SECRET-DATA.
  • Hanya super-user yang bisa melihat hash. Kelas lain melihat encrypted-password <hidden>.
  • File konfigurasi hanya bisa dibaca root (/config mode 700, file 600).
  • Password yang diketik tidak masuk riwayat CLI, dan ditampilkan sebagai ******** di output cidr-cli -c.
  • cidr-cli -f <file> membaca file dengan hak user yang menjalankannya, bukan root.
  • Hash dari router lain bisa dipakai langsung: ... authentication encrypted-password '$6$...'.

Shell Linux

admin@r1> start shell              # shell sebagai user admin
admin@r1> start shell user root    # shell root (minta password root)
admin@r1> show system users        # siapa yang sedang login

Root di shell Linux bisa kembali ke CLI dengan cli.

Otomasi

cidr-cli -c "configure; set system login user ops class operator; set system login user ops authentication plaintext-password Rahasia123; commit; save"

Tanpa terminal, password harus diberikan sebagai nilai.