5.1デバイスアクセス制御（lines・ローカル認証・AAA）

ネットワーク機器のセキュリティは、通過するトラフィックを守る前に機器そのものへのアクセスを守るところから始まります。特権パスワードを共有し全員が同じ enable を叩く運用では、誰が何をしたか追えず、退職者のアカウント失効もできません。ENCOR ではこの領域を、「lines（コンソール／VTY）にどの認証方式を紐づけるか」「AAA サーバをどう選び、落ちたときどう振る舞わせるか」「特権レベルやコマンド認可をどこで切るか」という運用設計として問われます。単に username を作るコマンドではなく、設定を投入した瞬間に自分が締め出されないかまで読み切る判断が本質です。

5.1.1lines とローカルユーザ認証

• 機器への管理アクセスはline（回線）単位で制御する。物理接続の line console 0、リモートの line vty 0 15、補助ポートの line aux 0 があり、それぞれ独立に認証方式を設定する。line vty 0 15 に login local を設定すると、username ADMIN privilege 15 secret <pass> で定義したローカルユーザデータベースのユーザ名＋パスワードで認証される。login のみ（password 併用）だとユーザ名のない共有パスワードになり、監査証跡が残らない。
• パスワード保存は secret（不可逆ハッシュ）を使い、password（可逆な Type 7 の弱い難読化）は避ける。enable secret で特権 EXEC を保護し、service password-encryption は Type 7 の難読化にすぎず強度の担保にはならない点に注意する。VTY には transport input ssh を設定して平文の Telnet を禁止し、ip ssh version 2 と RSA 鍵（crypto key generate rsa modulus 2048）を用意する。
• VTY への到達自体を絞るには、管理セグメントだけを許す ACL を access-class <ACL> in で line に適用する（インタフェース ACL ではなく line 配下に当てるのがポイント）。加えて exec-timeout 5 0 で放置セッションを切り、login block-for 系でブルートフォースを抑制する。