Cisco交換機配置SSH登錄

前言

Ssh是加密通訊而telnet是明文通訊，所以在保密要求較高的網(wǎng)絡(luò)需要使用ssh來管理網(wǎng)絡(luò)設(shè)備，在Cisco路由器產(chǎn)品系列中只有7200系列、7500系列和12000系列（GSR）等高端產(chǎn)品的IOS支持SSH.一般支持SSH的IOS版本文件名中都帶有K3或者K4字樣，K3 代表56bit SSH 加密，K4代表168bit SSH加密（在交換機上通過執(zhí)行show ver來查看）。

以下為思科原文，對支持IOS版本描述，原文鏈接：

http://www.cisco.com/c/en/us/support/docs/security-***/secure-shell-ssh/4145-ssh.html

Requirements

The Cisco IOS p_w_picpath used must be a k9(crypto) p_w_picpath in order to support SSH. For example 

c3750e-universalk9-tar.122-35.SE5.tar is a k9 (crypto) p_w_picpath.

有道漢譯：

需求

思科IOS映像必須使用k9(加密)為了支持SSH形象。例如c3750e - universalk9 tar.122 se5——35.。瀝青是一種k9(加密)的形象。

所以當發(fā)現(xiàn)IOS不支持ssh，但企業(yè)又必須實現(xiàn)ssh管理交換機需要事先來升級IOS，也即常說的“灌系統(tǒng)”；

SSH配置部分

Switch(config)#enabled password 12345678aA

//首先建立enabled密碼

Switch(config)#hostname SW2

//配置ssh的時候經(jīng)理避免使用默認名稱否則報錯

Switch(config)#ip domain-name cisco.com

//配置一個域名，在配置SSH登錄時，要生成一1024位RSA key，那么key的名字是以路由器的名字與DNS域名相接合為名字；

Switch(config)#crypto key generate rsa

//生成一個rsa算法的密鑰，密鑰長度為默認長，也可以通過執(zhí)行crypto key generate rsa general-keys modulus 1024來指定密鑰的長度；

（提示：在Cisoc中rsa支持360-2048位，該算法的原理是：主機將自己的公用密鑰分發(fā)給相關(guān)的客戶機，客戶機在訪問主機時則使用該主機的公開密鑰來加密數(shù)據(jù)，主機則使用自己的私有的密鑰來解密數(shù)據(jù)，從而實現(xiàn)主機密鑰認證，確定客戶機的可靠身份。)

Switch(config)#ip ssh time-out 120

//設(shè)置ssh時間為120秒(默認為120秒)

Switch(config)#ip ssh authentication 4

//設(shè)置ssh認證重復次數(shù)為4，可以在0-5之間選擇

Switch(config)#line vty 0 4

//進入vty模式

ra(config-line)#transport input ssh

//設(shè)置vty的登錄模式為ssh，默認情況下是all即允許所有登錄

Switch(config)#access-class aclname

//鏈接acl策略，只允許網(wǎng)絡(luò)管理員鏈接；

Switch (config-line)#login local

sw1(config)# line vty 0 15

sw1(config-line)# transport input ssh

//此時只有0-4為ssh，所以telnet還可以通過其他 5-15登錄，若執(zhí)行該命令后則telnet將不能進行登錄；

Switch(config)#aaa new-model

//啟用aaa認證，默認即為在本地服務(wù)器上進行認證，也可以執(zhí)行aaa authentication login default local指定在本地服務(wù)器上進行認證；

ra(config-line)#username sshadmin password 0 sshpassword

//創(chuàng)建一個用戶admin并設(shè)置其密碼為sshpassword。

service password-encryption

//將上述所配置密碼加密保存；

Show run

Show ip ssh

//可以通過上述命令來查看ssh配置；

crypto key zeroize rsa

//停止Ssh服務(wù)；