摘要：SSH（Secure Shell）协议凭借其强大的加密机制和安全特性，成为远程访问交换机等网络设备的首选方式。以下将结合具体代码配置，深入剖析如何精准配置 SSH 访问交换机，同时确保网络安全与稳定。
在当今复杂且对安全性要求极高的网络环境中，实现安全、高效的远程管理至关重要。
SSH（Secure Shell）协议凭借其强大的加密机制和安全特性，成为远程访问交换机等网络设备的首选方式。以下将结合具体代码配置，深入剖析如何精准配置 SSH 访问交换机，同时确保网络安全与稳定。
sysname test # 设置设备名称为testvlanbatch 10 20 30 40 50 # 批量创建VLAN 10、20、30、40、50authentication-profile name default_authen_profile # 创建名为default_authen_profile的认证配置文件authentication-profile name dot1x_authen_profile # 创建名为dot1x_authen_profile的认证配置文件authentication-profile name dot1xmac_authen_profile # 创建名为dot1xmac_authen_profile的认证配置文件authentication-profile name mac_authen_profile # 创建名为mac_authen_profile的认证配置文件authentication-profile name multi_authen_profile # 创建名为multi_authen_profile的认证配置文件authentication-profile name portal_authen_profile # 创建名为portal_authen_profile的认证配置文件http server-source all-interface # 配置HTTP服务器源为所有接口diffserv domain default # 配置默认的DiffServ域radius-server template default # 创建默认的Radius服务器模板pki realm default # 配置默认的PKI域certificate-check none # 不进行证书检查free-rule-template name default_free_rule # 创建名为default_free_rule的免费规则模板portal-access-profile name portal_access_profile # 创建名为portal_access_profile的Portal访问配置文件vlan 50 # 进入VLAN 50配置模式Description manage # 设置VLAN 50的描述为“manage”aaa # 进入AAA（认证、授权、计费）配置模式authentication-scheme default # 配置默认认证方案authentication-mode local # 设置认证模式为本地认证authentication-scheme radius # 配置名为radius的认证方案authentication-mode radius # 设置认证模式为Radius认证authorization-scheme default # 配置默认授权方案authorization-mode local # 设置授权模式为本地授权accounting-scheme default # 配置默认计费方案accounting-mode none # 设置计费模式为无计费local-aaa-user password policy administrator # 配置本地AAA用户密码策略（管理员）password history record number 0 # 不记录密码历史password expire 0 # 密码永不过期domain default # 配置默认域authentication-scheme radius # 设置认证方案为Radius认证accounting-scheme default # 设置计费方案为默认方案radius-server default # 使用默认的Radius服务器domain default_admin # 配置默认管理员域authentication-scheme default # 设置认证方案为默认方案accounting-scheme default # 设置计费方案为默认方案undo user-password complexity-check # 取消用户密码复杂度检查local-user admin password irreversible-cipher test@1234 # 创建本地用户admin，密码为test@1234（不可逆加密）local-user admin privilege level 15 # 设置用户admin的权限级别为15（最高权限）local-user admin service-type telnet terminal ssh http # 设置用户admin的服务类型为Telnet、终端、SSH、HTTPinterface Vlanif1 # 进入Vlanif1接口配置模式interface Vlanif50 # 进入Vlanif50接口配置模式description manage # 设置接口描述为“manage”ip address 192.168.50.2 255.255.255.0 # 配置接口IP地址为192.168.50.2，子网掩码为255.255.255.0interface GigabitEthernet0/0/1 # 进入GigabitEthernet0/0/1接口配置模式port link-type access # 设置接口链路类型为accessport default vlan 10 # 设置接口默认VLAN为10interface GigabitEthernet0/0/2 # 进入GigabitEthernet0/0/2接口配置模式port link-type access # 设置接口链路类型为accessport default vlan 20 # 设置接口默认VLAN为20interface GigabitEthernet0/0/3 # 进入GigabitEthernet0/0/3接口配置模式port link-type access # 设置接口链路类型为accessport default vlan 30interface GigabitEthernet0/0/4 # 进入GigabitEthernet0/0/4接口配置模式port link-type access # 设置接口链路类型为accessport default vlan 40interface GigabitEthernet0/0/5 # 进入GigabitEthernet0/0/5接口配置模式port link-type trunk # 设置接口链路类型为trunkport trunk allow-pass vlan 2 to 4094 # 设置trunk接口允许通过的VLAN范围为2到4094interface NULL0 # 进入NULL0接口配置模式（通常用于丢弃流量）undo icmp name timestamp-request receive # 取消接收ICMP时间戳请求ip route-static 0.0.0.0 0.0.0.0 192.168.50.1 # 配置默认静态路由，下一跳为192.168.50.1stelnet server enable # 启用STelnet服务器ssh user admin # 创建ssh用户adminssh user admin authentication-type password # 设置用户admin的认证类型为密码认证ssh user admin service-type stelnet # 设置用户admin的服务类型为STelnetssh client first-time enable # 启用SSH客户端首次登录功能ssh client 192.168.50.11 assign RSA-key 192.168.50.11 # 为SSH客户端192.168.50.11分配RSA密钥ssh server-source all-interface # 设置SSH服务器源为所有接口ssh server cipher aes256_ctr aes128_ctr # 设置SSH服务器支持的加密算法ssh server hmac sha2_256 # 设置SSH服务器使用的HMAC算法ssh server key-exchange ecdh_sha2_nistp256 # 设置SSH服务器的密钥交换算法ssh client cipher aes256_ctr aes128_ctr # 设置SSH客户端支持的加密算法ssh client hmac sha2_256 # 设置SSH客户端使用的HMAC算法ssh client key-exchange dh_group16_sha512 dh_group15_sha512 dh_group14_sha256 dh_group_exchange_sha256 # 设置SSH客户端的密钥交换算法ssh server publickey rsa_sha2_512 rsa_sha2_256 # 设置SSH服务器支持的公钥算法user-interface con 0 # 进入控制台用户界面配置模式authentication-mode aaa # 设置认证模式为AAAidle-timeout 9 0 # 设置空闲超时时间为9分钟0秒user-interface vty 0 4 # 进入VTY（虚拟终端）用户界面0到4配置模式authentication-mode aaa # 设置认证模式为AAAidle-timeout 9 0 # 设置空闲超时时间为9分钟0秒user-interface vty 16 20 # 进入VTY用户界面16到20配置模式dot1x-access-profile name dot1x_access_profile # 创建名为dot1x_access_profile的802.1X访问配置文件mac-access-profile name mac_access_profile # 创建名为mac_access_profile的MAC访问配置文件ops # 特定设备或功能的配置remote-unit # 远程单元相关配置return # 返回上级模式配置 SSH 访问交换机的第一步，是确保交换机的 SSH 服务处于启用状态。
在代码中，stelnet server enable启用了基于 SSH 协议的 STelnet 服务（在华为设备中常见），这是开启安全远程连接服务的关键操作。
部分设备可能需要明确使用ssh server enable命令来启用 SSH 服务，不同厂商设备在命令表述上可能存在细微差别。
启用 SSH 服务后，交换机才能监听并响应来自客户端的 SSH 连接请求，为后续的远程管理操作搭建基础通信桥梁。
1、用户创建
通过ssh user admin这一指令，在交换机上创建了名为admin的 SSH 用户。
此用户将拥有通过 SSH 协议登录交换机进行管理操作的权限。在实际应用场景中，应根据不同的管理职责和安全需求，创建多个具有不同权限级别的 SSH 用户，实现精细化管理。
2、密码认证配置
ssh user admin authentication-type password设置用户admin的认证类型为密码认证。即用户在通过 SSH 客户端连接交换机时，需输入预先设置的密码进行身份验证。
这种认证方式较为常见且简单直接，但安全性相对较弱。为提升安全性，可采用高强度密码策略，如密码长度要求、包含多种字符类型等。
3、公钥认证配置（可选但推荐）
除了密码认证，公钥认证是一种更为安全的认证方式。在采用公钥认证时，客户端需先生成 RSA 密钥对（包含公钥和私钥）。
以代码中的ssh client 192.168.50.11 assign rsa-key 192.168.50.11为例，为特定客户端（IP 为 192.168.50.11）分配了 RSA 密钥。
然后，将客户端生成的公钥内容复制并配置到交换机的对应 SSH 用户配置中。
在交换机上，需使用类似ssh user authentication-type rsa的命令设置该用户的认证类型为公钥认证，并完成公钥导入操作。
公钥认证通过验证客户端的公钥与交换机上存储的公钥是否匹配来确认用户身份，避免了密码在网络传输过程中可能被窃取的风险，大大增强了 SSH 登录的安全性。
1、服务器源接口配置
ssh server-source all-interface指定了 SSH 服务器的源接口为交换机的所有接口。
这意味着交换机的任意接口都能够接受来自 SSH 客户端的连接请求。
然而，在实际的安全网络架构中，可根据网络安全策略，仅指定特定的接口（如管理 VLAN 对应的接口）来接受 SSH 连接，从而有效缩小潜在的攻击面，降低安全风险。
2、加密算法设置
ssh server cipher aes256_ctr aes128_ctr配置了 SSH 服务器支持的加密算法为 AES256_CTR 和 AES128_CTR。
这些加密算法用于在 SSH 连接建立后，对传输的数据进行加密处理，确保数据在网络传输过程中的机密性，防止数据被第三方窃取或篡改。
选择高强度的加密算法对于保障网络通信安全至关重要，随着网络安全威胁的不断演变，应及时关注并更新加密算法以应对新的安全挑战。
3、HMAC 算法设置
ssh server hmac sha2_256设置了服务器使用的 HMAC（Hash - Message Authentication Code）算法为 SHA2_256。
HMAC 算法用于验证数据的完整性，确保在数据传输过程中没有被恶意篡改。
通过对数据进行哈希计算，并结合共享密钥生成 HMAC 值，接收方可以通过验证 HMAC 值来确认数据的完整性，为 SSH 通信提供了额外的安全保障。
3、密钥交换算法设置
ssh server key-exchange ecdh_sha2_nistp256确定了 SSH 服务器采用的密钥交换算法为 ECDH_SHA2_NISTP256。
在 SSH 连接建立过程中，客户端和服务器需要通过密钥交换算法协商出一个共享的会话密钥，用于后续的数据加密和解密。
安全可靠的密钥交换算法是保障 SSH 通信安全的核心环节之一，不同的密钥交换算法在安全性、计算效率等方面存在差异，应根据实际需求和网络环境选择合适的算法。
1、首次登录功能启用
ssh client first-time enable启用了 SSH 客户端的首次登录功能。
当客户端首次尝试连接到交换机时，系统会进行相关的安全提示和设置，如确认服务器的公钥指纹等操作，防止用户连接到伪造的 SSH 服务器，有效避免中间人攻击。
这一功能在保障用户初次建立安全 SSH 连接时起到了重要的防护作用。
2、客户端密钥分配
如前文所述，ssh client 192.168.50.11 assign rsa-key 192.168.50.11为特定的客户端（IP 为 192.168.50.11）分配了 RSA 密钥，这在采用公钥认证方式时是必不可少的配置步骤。
通过为不同的客户端分配独立的密钥，进一步增强了 SSH 连接的安全性，确保每个客户端的身份验证过程都是独立且安全的。
3、客户端算法配置
ssh client cipher aes256_ctr aes128_ctr、ssh client hmac sha2_256、ssh client key-exchange dh_group16_sha512 dh_group15_sha512 dh_group14_sha256 dh_group_exchange_sha256分别设置了 SSH 客户端支持的加密算法、HMAC 算法和密钥交换算法。
这些配置需与服务器端的相应配置相匹配，才能顺利建立起安全的 SSH 连接。
若客户端和服务器端的算法不兼容，将导致连接建立失败，因此在进行 SSH 配置时，务必确保两端的算法设置一致。
通过上述对 SSH 访问交换机配置的详细解析，我们可以看到，每一个配置步骤都紧密关联，共同构建起一个安全、稳定的远程管理通道。
在实际网络环境中，合理、准确地配置 SSH 访问，对于提升网络管理效率、保障网络设备安全具有不可替代的重要作用。
无论是企业网络、校园网络还是数据中心网络，精心打造的 SSH 配置都是实现高效远程管理的关键环节，为网络的稳定运行保驾护航。
来源：三戒逍遥
