Contenido

Introducción

Problema: Retraso antes de que aparezca el mensaje de contraseña mientras inicia sesión a través de SSH/Telnet

SSH a la interfaz de gestión de N5K0

Telnet a la interfaz de gestión N5K0

Solución

Introducción

Este documento describe el retraso antes de que aparezca el mensaje de contraseña mientras inicia sesión a través de SSH/Telnet.

Este problema se observa comúnmente cuando intenta iniciar sesión a través de SSH o Telnet a la interfaz mgmt0 en un Nexus 5K/6K.

Después de introducir la ID de usuario, se muestra este texto y se produce un retraso mayor, como se espera, antes de que aparezca el mensaje de contraseña.

login as: admin

<delay for several seconds before below text is appears>

Nexus 5000 Switch

Using keyboard-interactive authentication.

Password:

Problema: Retraso antes de que aparezca el mensaje de contraseña mientras inicia sesión a través de SSH/Telnet

El problema ocurre debido a la búsqueda de DNS inverso.

De forma predeterminada, ip domain-lookup se habilita en el Nexus y si una lista de servidores DNS (ip name-server) se configura en VRF Management , el switch realizará una búsqueda de DNS inversa de la dirección IP de origen del usuario cada vez que se conecte al puerto mgmt0 a través de SSH o Telnet.

Una búsqueda de DNS inverso está diseñada para fines de seguridad para verificar que la dirección IP de origen es legítima y para evitar la suplantación de IP.

A continuación se muestra un ejemplo donde utilizamos un servidor DNS 10.67.84.45

El servidor DNS en este caso no tiene una entrada para la dirección IP de origen del cliente y no proporciona una respuesta. Esto hace que el switch Nexus realice varias consultas, ya que el servidor no devuelve un resultado, por lo que esto causa la demora.

ip domain-lookup

vrf context management

ip name-server 10.67.84.45

A partir de este resultado de show hosts, puede ver que hay un servidor DNS configurado para la Administración VRF y que la búsqueda de dominio IP está habilitada.

N5548P-2# show hosts

DNS lookup enabled

Name servers for vrf:management is  10.67.84.45

Host                    Address

Estas capturas de Ethanalzyer se tomaron después de ingresar el nombre de usuario y espera a que aparezca el mensaje de contraseña.

Muestra que el switch Nexus realiza dos búsquedas de DNS inversas con respecto a la dirección IP de origen del usuario, 62.84.137.10

SSH a la interfaz de gestión de N5K0

Username: admin

<delay for several seconds>

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:11:44.105674  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2015-05-09 22:11:49.102673  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

N5548P-2# 2 packets captured

The password prompt is then displayed for the user

Nexus 5000 Switch

Using keyboard-interactive authentication.

Password

:

Del mismo modo, cuando inicia sesión a través de Telnet, el switch realiza primero la búsqueda de DNS inversa anterior en la dirección IP de origen del usuario y, a continuación, muestra el mensaje de inicio de sesión.

Telnet a la interfaz de gestión N5K0

telnet to switch 10.67.84.56

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:24:56.303878  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2015-05-09 22:25:01.302680  10.67.84.56 -> 10.67.84.45      DNS Standard query PTR 6

2.84.137.10.in-addr.arpa

2 packets captured

A continuación, se muestra el mensaje de inicio de sesión:

Nexus 5000 Switch

login: admin

Password:

Solución

Solución 1. Modifique la lista de servidores DNS configurados en el Nexus para que se consulte al servidor DNS receptivo antes de que el servidor DNS no responda.

Si el Nexus recibe un registro DNS válido del servidor DNS local, no consultará al segundo servidor DNS de la lista. Esto reduce el retraso.

Ejemplo:

vrf context management

no ip name-server 10.67.84.45

ip name-server  10.67.84.48 10.67.84.45

Puede utilizar estos comandos para verificar la lista actual de servidores DNS donde el servidor local aparece primero en la lista:

N5548P-2# sh hosts

DNS lookup enabled

Name servers for vrf:management is  10.67.84.48 10.67.84.45

Host                    Address

Desde esta captura de Ethanalyzer, primero se realiza la búsqueda de IP a nombre y se recibe una respuesta.

A esto le sigue una búsqueda de nombre a dirección IP donde se recibe una respuesta.

En este caso, no se observó ningún retraso notable al iniciar sesión a través de SSH o Telnet.

N5548P-2# ethanalyzer local interface mgmt display-filter dns

Capturing on eth0

2015-05-09 22:55:46.037079  10.67.84.56 -> 10.67.84.48 DNS Standard query PTR

20.196.104.64.in-addr.arpa

2015-05-09 22:55:46.037444 10.67.84.48 -> 10.67.84.56  DNS Standard query res

ponse PTR no-sense-1.cisco.com

2015-05-09 22:55:46.041907  10.67.84.56 -> 10.67.84.48 DNS Standard query A n

o-sense-1.cisco.com

2015-05-09 22:55:46.042295 10.67.84.48 -> 10.67.84.56  DNS Standard query res

ponse A 64.104.196.20

Solución 2. Quite la lista DNS del VRF de administración.

Ejemplo:

vrf context management

no ip name-server 10.67.84.48 10.67.84.45

- Desactivar búsqueda de dominio IP

no ip domain-lookup

Nota: Hay una solicitud de mejora abierta para deshabilitar la búsqueda de DNS inverso para SS/Telnet.

CSCur27501 Desactive la búsqueda de r-DNS para SSH/Telnet