Sebelum memulai praktik, pastikan Anda telah memahami konsep dasar pada materi kelas Cisco Networking di infokoding.

BAB 3

Konfigurasi Hostname dan Password Cisco

Amankan perangkat Cisco Anda dengan mengkonfigurasi hostname yang deskriptif, enable secret, password line console dan VTY, enkripsi password, serta banner MOTD.

Laptop Admin Console (RS-232) R1-CORE-JKT Cisco IOS Router (Enable Secret + SSH) NOC PC SSH (Port 22 / VTY) Line Console 0 Line VTY 0 4

Download File Laboratorium Cisco Packet Tracer (.pkt)

Unduh file simulasi cisco-hostname-password-lab.pkt untuk mempraktikkan langsung konfigurasi Hostname, Enable Secret, & SSH VTY.

Download Lab .pkt (1.1 MB)

Cheat Sheet Perintah Konfigurasi Keamanan Cisco CLI

Quick Reference
Perintah CLI Cisco Mode Config Fungsi / Deskripsi Utama Standar Keamanan
hostname [nama] Global Config Mengatur nama identitas unik router/switch di CLI prompt Wajib (Identitas)
enable secret [pw] Global Config Mengamankan Privileged Mode dengan hash MD5 (Type 5) Sangat Aman (Type 5)
enable algorithm-type sha256 secret [pw] Global Config Mengamankan Privileged Mode dengan enkripsi SHA-256 (Type 8) atau Scrypt (Type 9) Maksimal (Type 8/9)
username admin secret [pw] Global Config Membuat akun user lokal terenkripsi untuk otentikasi SSH Standar Industri
line console 0 → login Line Config Mengamankan port serial fisik console dari akses tanpa izin Wajib Fisik
line vty 0 4 → login local Line Config Mewajibkan otentikasi user lokal untuk akses remote SSH Standar Industri
service password-encryption Global Config Mengenkripsi seluruh password plaintext (Type 7) pada running-config Dasar (Type 7)
banner motd # [pesan] # Global Config Menampilkan pesan peringatan hukum sebelum login CLI Compliance Hukum

Ringkasan Eksekutif (TL;DR)

  • Hostname: hostname [nama] — identitas perangkat di prompt CLI.
  • Enable Secret (MD5 / Type 5): enable secret [pw] — mengamankan Privileged Exec Mode dengan enkripsi ter-hash.
  • Enkripsi Tingkat Lanjut (SHA-256 / Scrypt - Type 8/9): enable algorithm-type sha256 secret [pw] atau enable algorithm-type scrypt secret [pw] — menghasilkan hash SHA-256 (Type 8) atau PBKDF2-scrypt (Type 9) yang kebal terhadap serangan brute-force.
  • Console Password: line console 0 → password [pw] → login
  • VTY & Otentikasi Lokal (Standar Industri): username admin secret [pw] → line vty 0 4 → login local → transport input ssh
  • Enkripsi Global: service password-encryption — mengamankan password console/VTY di running-config (Type 7).
  • Banner MOTD: banner motd # [pesan] # — pesan peringatan akses hukum.
Daftar Isi Muka Halaman (Jump-Links)
1. Mengatur Hostname Cisco 2. Mengamankan Privileged Exec Mode 3. Mengamankan Akses Console 4. Akses Remote VTY & Otentikasi Lokal 4.1 login local vs AAA (TACACS+/RADIUS) 5. Enkripsi Semua Password 6. Banner MOTD 7. Skrip Konfigurasi Lengkap 8. Verifikasi Perintah CLI 9. Troubleshooting & Recovery

Setelah memahami navigasi CLI, langkah pertama yang wajib dilakukan saat menerima perangkat Cisco baru adalah mengidentifikasi dan mengamankannya. Bab ini mencakup konfigurasi dasar keamanan yang harus ada di setiap perangkat Cisco di jaringan produksi.

1. Mengatur Hostname dalam Belajar Cisco Networking

  • Fungsi Hostname: Menentukan nama unik router/switch pada CLI prompt (contoh: R1-CORE-JKT).
  • Sintaks Utama: Perintah hostname [nama] pada Global Configuration Mode.

Hostname adalah nama identitas perangkat yang muncul sebagai prompt CLI. Sangat penting saat mengelola banyak perangkat sekaligus agar tidak salah konfigurasi.

Router> enable
Router# configure terminal
Router(config)# hostname R1-CORE-JKT
R1-CORE-JKT(config)#
! Perhatikan: prompt langsung berubah menjadi nama hostname baru
Konvensi Penamaan

Gunakan nama deskriptif: R1-CORE-JKT (Router 1, Core, Jakarta), SW-ACCESS-LANTAI3, atau FW-EDGE-01. Nama yang baik mempercepat troubleshooting secara dramatis.

2. Mengamankan Privileged Exec Mode

  • Enable Secret: Mengamankan Privileged Exec Mode dengan enkripsi MD5 / SHA-256 (jauh lebih aman dibanding enable password).
  • Sintaks Utama: enable secret [password] atau enable algorithm-type sha256 secret [password].
Perintah Enkripsi Rekomendasi
enable password [pw] Plaintext (tidak aman) Jangan digunakan
enable secret [pw] MD5 Hash (aman) Selalu gunakan ini 
R1(config)# enable secret Adm1n@Cisco2026!

Tips Keamanan Modern (Cisco IOS XE / Type 8 & 9): Pada perangkat Cisco modern, Anda juga bisa menggunakan algoritma SHA-256 (Type 8) atau Scrypt (Type 9) yang jauh lebih tangguh menghadapi brute-force dibanding MD5 (Type 5):

R1(config)# enable algorithm-type sha256 secret Adm1n@Cisco2026!

3. Mengamankan Akses Console

  • Keamanan Console: Melindungi port fisik serial console dari akses fisik tanpa izin.
  • Sintaks Utama: line console 0 → password [pw] → login → exec-timeout 5 0.
R1(config)# line console 0
R1(config-line)# password C0nsol3Pass!
R1(config-line)# login
R1(config-line)# exec-timeout 5 0
! exec-timeout 5 0 = auto-logout setelah 5 menit tidak aktif
R1(config-line)# exit

4. Mengamankan Akses Remote (VTY) & Otentikasi Lokal (login local)

  • Akses SSH Remote: Mengamankan koneksi telnet/SSH jarak jauh.
  • Standar Industri: Memadukan username admin secret + login local + transport input ssh.

Di jaringan industri modern, mengamankan akses remote VTY tidak lagi menggunakan password tunggal yang dipakai bersama (shared password). Standar industri mewajibkan pembuatan user terenkripsi username [user] secret [password] serta mengaktifkan login local pada baris VTY agar setiap akses tercatat dan akuntabel:

! 1. Buat User Admin Lokal dengan Password Terenkripsi (Standar Industri)
R1(config)# username admin secret Adm1n@LocalPass2026!

! 2. Konfigurasi Domain Name & Kunci Kriptografi RSA
R1(config)# ip domain-name infokoding.local
R1(config)# crypto key generate rsa
How many bits in the modulus [512]: 2048
! Sangat disarankan menggunakan 2048 bit untuk keamanan modern

R1(config)# ip ssh version 2
! Memaksa penggunaan SSH v2 (menolak SSH v1 yang rentan disadap)

! 3. Konfigurasi Line VTY dengan Otentikasi User Lokal (login local)
R1(config)# line vty 0 4
R1(config-line)# login local
! login local = mewajibkan otentikasi username & secret dari database lokal
R1(config-line)# exec-timeout 10 0
R1(config-line)# transport input ssh
! transport input ssh = hanya izinkan SSH, menolak Telnet (plaintext)
R1(config-line)# exit
Mengapa login local Merupakan Standar Industri Modern?

Penggunaan login local dikombinasikan dengan username admin secret memberikan akuntabilitas (accountability) penuh. Setiap engineer memiliki identitas login masing-masing sehingga mempermudah audit log jika terjadi insiden keamanan, dibanding satu password VTY bersama yang rentan bocor.

Kapan Menggunakan login local vs Server AAA (TACACS+ / RADIUS)?

Pemilihan metode otentikasi tergantung pada skala arsitektur jaringan yang Anda kelola:

  • login local (Database User Lokal): Sangat ideal untuk jaringan skala kecil hingga menengah (1–20 perangkat), kantor cabang (*branch office*), atau sebagai fallback access saat server terpusat mengalami gangguan koneksi.
  • Server AAA (TACACS+ / RADIUS / Cisco ISE): Diwajibkan untuk jaringan enterprise skala besar (puluhan hingga ribuan router/switch). Seluruh kredensial pengguna, otorisasi hak akses perintah CLI per role, dan log akuntabilitas dikelola secara terpusat tanpa perlu mengubah konfigurasi manual di setiap perangkat.

Diagram Alur Otentikasi: login local vs Server AAA (TACACS+/RADIUS)

1. Local Authentication (login local)
Admin SSH Router Cisco

Router mencocokkan username & secret secara langsung ke database internal NVRAM.

Berdiri Sendiri & Mandiri (Cocok untuk Cabang/Small Net)
2. Server AAA (TACACS+ / RADIUS)
Admin SSH Router AAA Server

Router meneruskan kredensial ke Server TACACS+/ISE terpusat untuk verifikasi & log akuntabilitas.

Terpusat, Role Access & Audit Trail Enterprise

Diagram 3.1: Perbandingan alur otentikasi lokal (login local) vs terpusat (Server AAA TACACS+/RADIUS).

4.2 Otorisasi Perintah Granular: TACACS+ Command Authorization & Kerberos Integration

Pada infrastruktur jaringan Enterprise berskala besar (seperti Data Center perbankan atau penyedia telekomunikasi), membatasi login saja tidak cukup. Anda dapat menerapkan TACACS+ Command Authorization untuk mengontrol dan memverifikasi setiap perintah CLI tunggal yang diketikkan oleh engineer sebelum dieksekusi oleh Cisco IOS:

! Aktifkan Otentikasi & Otorisasi Perintah via TACACS+ Server
R1(config)# aaa new-model
R1(config)# tacacs server TACACS-SERVER-01
R1(config-server-tacacs)# address ipv4 192.168.1.50
R1(config-server-tacacs)# key SecretTacacsKey2026!
R1(config-server-tacacs)# exit

! Otorisasi seluruh perintah CLI privilege level 15 ke server TACACS+
R1(config)# aaa authorization commands 15 default group tacacs+ local

Selain TACACS+, lingkungan enterprise berskala multinasional dapat mengintegrasikan otentikasi single sign-on (SSO) berbasis Kerberos / Active Directory (AD) untuk mengotentikasi sesi SSH pengembang secara otomatis menggunakan kredensial domain utama tanpa perlu menyimpan password lokal di router.

Telnet vs SSH

Telnet mengirimkan data termasuk password dalam bentuk plaintext yang bisa disadap. Di jaringan produksi, selalu gunakan SSH yang mengenkripsi seluruh sesi komunikasi.

5. Enkripsi Semua Password

  • Enkripsi Global: Menutupi seluruh password plaintext pada running-config menjadi format Type 7.
  • Sintaks Utama: Perintah service password-encryption pada Global Configuration Mode.
R1(config)# service password-encryption

! Verifikasi - password sekarang terenkripsi (tipe 7)
R1# show running-config
...
line console 0
 password 7 0822455D0A16
 login
line vty 0 4
 password 7 14141B180F0B
 login

5.1 Tips Keamanan: Batas Minimal Panjang Password Cisco IOS

Untuk mencegah penggunaan password lemah (seperti "cisco" atau "123456") oleh administrator atau staf operasional, Cisco IOS menyediakan perintah konfigurasi global security passwords min-length [panjang]. Perintah ini akan memblokir pembuatan password user/enable yang memiliki panjang karakter di bawah batas yang ditentukan:

R1(config)# security passwords min-length 10

! Uji coba membuat password kurang dari 10 karakter:
R1(config)# enable secret cisco123
% Password is too short - must be at least 10 characters long.

Rekomendasi Standar Keamanan NIS/CIS Benchmark

Tetapkan batas minimal panjang password minimal 10 hingga 14 karakter pada perangkat Cisco produksi yang mengombinasikan huruf besar, huruf kecil, angka, dan simbol khusus.

  • Peringatan Hukum: Menampilkan pesan peringatan resmi kepada pengguna sebelum login CLI.
  • Sintaks Utama: Perintah banner motd # [pesan] #.
R1(config)# banner motd #
==========================================================
   PERINGATAN: Sistem Ini Hanya untuk Pengguna Terotorisasi
   Akses tanpa izin merupakan pelanggaran hukum.
   Semua aktivitas dimonitor dan dicatat.
   PT. InfoKoding Indonesia - NOC Team
==========================================================
#

7. Konfigurasi Lengkap (Standar Industri Modern)

  • Integrasi Penuh: Menggabungkan Hostname, Enable Secret, User Admin Lokal, SSH v2, Banner MOTD, dan login local.
  • Penyimpanan: Gunakan write memory atau copy running-config startup-config setelah selesai.
Router> enable
Router# configure terminal
Router(config)# hostname R1-CORE-JKT
R1-CORE-JKT(config)# enable secret Adm1n@Cisco2026!
R1-CORE-JKT(config)# username admin secret Adm1n@LocalPass2026!
R1-CORE-JKT(config)# service password-encryption
R1-CORE-JKT(config)# banner motd # Authorized Access Only! #
R1-CORE-JKT(config)# line console 0
R1-CORE-JKT(config-line)# password C0nsol3!
R1-CORE-JKT(config-line)# login
R1-CORE-JKT(config-line)# exec-timeout 5 0
R1-CORE-JKT(config-line)# exit
R1-CORE-JKT(config)# ip domain-name infokoding.local
R1-CORE-JKT(config)# crypto key generate rsa modulus 2048
R1-CORE-JKT(config)# ip ssh version 2
R1-CORE-JKT(config)# line vty 0 4
R1-CORE-JKT(config-line)# login local
R1-CORE-JKT(config-line)# transport input ssh
R1-CORE-JKT(config-line)# exec-timeout 10 0
R1-CORE-JKT(config-line)# exit
R1-CORE-JKT(config)# end
R1-CORE-JKT# wr

8. Verifikasi Hasil Konfigurasi Cisco (Verification Commands)

  • Status SSH: Jalankan show ip ssh untuk memastikan SSH v2 aktif dengan status Enabled.
  • Status Line & VTY: Gunakan show line dan show running-config | section line.
  • Status User Lokal: Gunakan show running-config | include username untuk memverifikasi akun admin terenkripsi.

Setelah selesai melakukan konfigurasi, selalu lakukan verifikasi menggunakan perintah show di Privileged Exec Mode untuk memastikan seluruh parameter keamanan telah berjalan secara sempurna:

! 1. Verifikasi Status & Versi SSH yang Aktif
R1-CORE-JKT# show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 120 secs; Authentication retries: 3
Minimum expected Diffie-Hellman key size : 1024 bits
IOS Keys Generated:
rsa key size: 2048

! 2. Verifikasi Status Line Console dan VTY
R1-CORE-JKT# show line
   Tty Line Typ     Tx/Rx    Raw Method  Int
*    0    0 CTY              -    -      -
     1    1 AUX   9600/9600  -    -      -
     2    2 VTY              -    local  -
     3    3 VTY              -    local  -
     4    4 VTY              -    local  -

! 3. Verifikasi Konfigurasi Line dalam Running Config
R1-CORE-JKT# show running-config | section line
line console 0
 password 7 0822455D0A16
 login
 exec-timeout 5 0
line vty 0 4
 exec-timeout 10 0
 login local
 transport input ssh

! 4. Verifikasi User Admin Lokal Terenkripsi
R1-CORE-JKT# show running-config | include username
username admin secret 9 $9$v0G.K3j4s$1a2b3c4d5e6f7g8h9i0j...

Setelah menyelesaikan langkah ini, pastikan Anda juga membaca panduan cara menyimpan konfigurasi permanen Cisco (RAM ke NVRAM) agar seluruh password yang dibuat tidak hilang saat router direstart. Selanjutnya, lanjutkan ke materi konfigurasi interface dan IP address Cisco router untuk menghubungkan perangkat ke jaringan.

Referensi Resmi Perintah CLI Cisco IOS (External Reference)

Untuk mengeksplorasi dokumentasi resmi daftar lengkap perintah CLI Cisco IOS fundamentals dan panduan konfigurasi keamanan lanjutan, silakan kunjungi dokumentasi resmi Cisco:

Cisco IOS & NX-OS Networking Software Documentation (cisco.com)

9. Troubleshooting & Kesalahan Umum

Berikut adalah kendala yang paling sering ditemui saat mengamankan perangkat Cisco beserta solusi praktisnya:

A. Perbedaan Enkripsi Type 5 vs Type 7

Saat Anda menjalankan service password-encryption, password console dan VTY dienkripsi menggunakan algoritma Type 7 (Vigenère cipher terbalik) yang sangat lemah dan bisa di-decrypt dengan mudah menggunakan website online. Sebaliknya, enable secret menggunakan enkripsi Type 5 (MD5) atau Type 9 (scrypt) yang jauh lebih kuat dan tidak bisa didekripsi secara langsung.

B. Lupa Password Router (Password Recovery Sederhana)

Jika Anda tidak bisa masuk karena lupa password, alur recovery dasarnya adalah:

  1. Restart router dan tekan Ctrl + Break pada keyboard saat proses booting untuk masuk ke mode ROMMON.
  2. Ubah nilai configuration register agar mengabaikan NVRAM: confreg 0x2142
  3. Ketik reset untuk merestart router tanpa memuat password lama.
  4. Masuk ke Privileged Mode lalu salin startup-config ke running-config: copy startup-config running-config.
  5. Ganti password yang lupa: enable secret passwordbaru.
  6. Kembalikan config-register ke normal: config-register 0x2102 lalu simpan dengan wr.

C. Perbedaan Password Recovery pada Switch Cisco (Tombol Mode & flash:config.text)

Prosedur recovery password pada Switch Cisco (Catalyst Series) berbeda dengan Router karena Switch tidak menggunakan register confreg 0x2142 di ROMMON. Sebaliknya, Switch memanfaatkan tombol fisik MODE pada panel depan dan sistem file flash:config.text:

  1. Masuk ke Bootloader: Lepas kabel power Switch, lalu tekan dan tahan tombol fisik MODE di panel depan sambil memasang kembali kabel power hingga LED SYST berubah warna hijau/amber (tahan sekitar 15 detik) sampai muncul prompt switch:.
  2. Inisialisasi Flash: Ketik flash_init lalu tekan Enter untuk memuat sistem file memori flash.
  3. Rename File Konfigurasi: Ubah nama file konfigurasi startup agar tidak dibaca saat booting:
    switch: rename flash:config.text flash:config.old
  4. Booting Ulang: Ketik boot untuk merestart Switch tanpa memuat konfigurasi lama.
  5. Lewati Initial Setup: Ketik no saat ditanya Setup Dialog, lalu masuk ke mode enable: enable.
  6. Kembalikan File Config & Ganti Password: Ubah nama file config kembali ke semula lalu muat ke running memory:
    Switch# rename flash:config.old flash:config.text
    Switch# copy flash:config.text running-config
    Switch(config)# enable secret passwordbaru
  7. Simpan Konfigurasi Baru: Ketik write memory atau copy running-config startup-config.
Ringkasan Komparasi Router vs Switch Recovery:
  • Router Cisco: Menggunakan perintah ROMMON confreg 0x2142 untuk mengabaikan NVRAM.
  • Switch Cisco: Menggunakan tombol fisik MODE saat boot & mengubah nama file flash:config.text.
.pkt

File Simulasi Packet Tracer (.pkt)

Unduh lab topologi & konfigurasi dasar hostname + password siap pakai.

Download Lab (.pkt)

FAQ: Hostname & Password Cisco

Apa perbedaan enable password dan enable secret?

enable password menyimpan password dalam bentuk plaintext, sedangkan enable secret meng-hash password menggunakan algoritma MD5 (Type 5), SHA-256 (Type 8), atau Scrypt (Type 9) yang terenkripsi aman.

Mengapa perintah service password-encryption kurang aman?

service password-encryption menggunakan enkripsi Type 7 yang sangat mudah didekripsi menggunakan dekripter online, sehingga hanya berguna mencegah pengintipan langsung pada layar (shoulder surfing).

Mengapa harus menambahkan 'ip domain-name' sebelum generate RSA key SSH?

ip domain-name wajib dikonfigurasi sebelum generate RSA key karena Cisco IOS memerlukan FQDN (kombinasi Hostname + Domain Name) untuk membentuk kunci sertifikat enkripsi SSH v2.

Kapan menggunakan login local dibanding Server AAA (TACACS+/RADIUS)?

login local digunakan untuk otentikasi user dari database internal router pada jaringan kecil/cabang, sedangkan Server AAA (TACACS+/RADIUS) digunakan untuk mengelola kredensial dan hak akses secara terpusat pada jaringan enterprise skala besar.

RA

Rusmawan Abdullah Sani

CCNA Certified Enterprise Engineer

Memiliki pengalaman praktis di bidang jaringan komputer. Jangan ragu untuk terhubung dengan saya di LinkedIn.

Download PDF Materi