¿Por qué configurar líneas VTY en un switch de red?

Las líneas Virtual TeletYpe (VTY) son interfaces lógicas que aceptan conexiones entrantes de gestión remota (Telnet, SSH) a un switch o router Cisco. Configurarlas es esencial para administración de red segura, auditable y escalable.

Razones clave para configurar líneas VTY

1. Acceso remoto seguro
   • Forzar SSH (transport input ssh) y deshabilitar Telnet en claro.
   • Aplicar access-class ACLs para restringir IPs origen (ej. solo subred gestión).
   • Establecer contraseñas fuertes o, preferiblemente, integrar AAA (RADIUS/TACACS+) para autenticación centralizada.
2. Sesiones administrador concurrentes
   • Por defecto: 5 líneas VTY (0–4). Aumentar con line vty 0 15 para hasta 16 sesiones simultáneas, permitiendo colaboración en equipo durante cambios o incidencias.
3. Control total privilegios CLI
   • Asignar niveles privilegio por línea o por usuario vía AAA, limitando comandos (ej. helpdesk solo show, ingenieros senior config).
4. Logging y auditoría sesiones
   • Habilitar logging synchronous, exec-timeout, session-limit. Combinado con AAA accounting, cada comando se loguea para compliance y forense.
5. Gestión remota sitios distribuidos
   • Elimina necesidad acceso consola físico en oficinas remotas, reduciendo MTTR y costes desplazamiento.
6. Mitigación DoS
   • Establecer exec-timeout (ej. 5 min) y login block-for para evitar sesiones idle y fuerza bruta ocupando todas las VTYs.

Baseline mínimo seguro (IOS/IOS-XE)

line vty 0 15
 transport input ssh
 access-class MGMT_ACL in
 exec-timeout 5 0
 login authentication AAA_LOGIN
 privilege 15
 logging synchronous

La configuración VTY adecuada es paso fundamental en hardening de red.