SCP برای انتقال امن فایل در IOS XE

چرا Secure File Transfer

فایل Running/Startup Configuration می‌تواند IP، Username، Hash، SNMP Community یا اطلاعات معماری داشته باشد. Software Image نیز Asset حساس عملیاتی است. انتقال این فایل‌ها باید علاوه بر Integrity و Availability، Confidentiality مناسب داشته باشد. SCP از SSH Channel استفاده می‌کند و نسبت به انتقال‌های Plaintext قدیمی مناسب‌تر است.

Secure Transfer جای Backup Policy را نمی‌گیرد. باید Retention، نسخه فایل، Hash در صورت نیاز، Access Control و Recovery Test نیز تعریف شود.

Device <--- SSH/SCP ---> Secure file server

پیش‌نیازهای SCP Server

Cisco Documentation برای SCP Server-side تأکید می‌کند AAA Authentication و Authorization باید درست باشند و SSH نیز فعال باشد. سپس ip scp server enable قابلیت SCP Server را فعال می‌کند.

aaa new-model
aaa authentication login default local
aaa authorization exec default local
username backup privilege 15 secret <secret>
ip scp server enable

در محیط مرکزی می‌توان Local را با TACACS+/RADIUS جایگزین کرد، به شرط اینکه Authorization لازم برای EXEC فراهم باشد. دقیقاً همین وابستگی باعث می‌شود SCP Failure گاهی از AAA بیاید نه از File System.

Copy با SCP

Syntax copy با URI یا Promptها به Platform/Release وابسته است. معمولاً می‌توان فایل را از Server به Flash یا برعکس منتقل کرد. قبل از Copy فضای Storage و Filename را بررسی کن.

dir flash:
copy scp: flash:
! or platform-supported SCP URI syntax

از copy ? برای دیدن Transportهای پشتیبانی‌شده همان Device استفاده کن. در Production قبل از Image Transfer ظرفیت Flash، Boot Variable و Change Plan را بررسی کن؛ Download موفق به معنی Upgrade موفق نیست.

برای Configuration Backup نیز Destination Filename باید شامل Device Name و Timestamp معنادار باشد تا Restore اشتباه نشود.

Verification انتقال

پس از Copy فقط پیام Success را قبول نکن. وجود فایل، Size و در صورت فرآیند سازمانی Hash را Verify کن. برای Config Backup می‌توان فایل را به شکل امن روی Server بررسی کرد بدون افشای Secret در Ticket.

dir flash:
show file systems
show running-config | include ip scp

Cisco برای SCP Server-side امکان debug ip scp را نیز مستند کرده است، اما Debug را در Production محدود و با Window مشخص اجرا کن. ابتدا Log و show Commandها را ترجیح بده.

اگر فایل وجود دارد اما حجم صفر یا ناقص است، Storage/Transfer interruption را بررسی کن.

Troubleshooting SCP

Runbook: 1) SSH Login با همان User؛ 2) AAA Authentication؛ 3) Authorization Exec؛ 4) SCP Server Enablement در سمت Device اگر لازم است؛ 5) Network Path/ACL؛ 6) Destination File System و Free Space؛ 7) Filename/Permission؛ 8) Log/Debug کنترل‌شده.

SSH works? -> AAA -> SCP enabled -> storage -> copy -> verify file

اگر SSH Login با همان User شکست می‌خورد، SCP را عیب‌یابی نکن؛ اول AAA/SSH را حل کن. اگر SSH سالم و SCP Authentication خطا دارد، Authorization یا SCP-specific Configuration را بررسی کن. اگر Transfer شروع و وسط راه قطع می‌شود، Path/Storage اهمیت بیشتری پیدا می‌کند.