Cisco交換機配置SSH登錄

前言

Ssh是加密通訊而telnet是明文通訊，所以在保密要求較高的網絡需要使用ssh來管理網絡設備，在Cisco路由器產品系列中只有7200系列、7500系列和12000系列（GSR）等高端產品的IOS支持SSH.一般支持SSH的IOS版本文件名中都帶有K3或者K4字樣，K3 代表56bit SSH 加密，K4代表168bit SSH加密（在交換機上通過執行show ver來查看）。

以下為思科原文，對支持IOS版本描述，原文鏈接：

http://www.cisco.com/c/en/us/support/docs/security-***/secure-shell-ssh/4145-ssh.html

Requirements

The Cisco IOS p_w_picpath used must be a k9(crypto) p_w_picpath in order to support SSH. For example 

c3750e-universalk9-tar.122-35.SE5.tar is a k9 (crypto) p_w_picpath.

有道漢譯：

需求

思科IOS映像必須使用k9(加密)為了支持SSH形象。例如c3750e - universalk9 tar.122 se5——35.。瀝青是一種k9(加密)的形象。

所以當發現IOS不支持ssh，但企業又必須實現ssh管理交換機需要事先來升級IOS，也即常說的“灌系統”；

SSH配置部分

Switch(config)#enabled password 12345678aA

//首先建立enabled密碼

Switch(config)#hostname SW2

//配置ssh的時候經理避免使用默認名稱否則報錯

Switch(config)#ip domain-name cisco.com

//配置一個域名，在配置SSH登錄時，要生成一1024位RSA key，那么key的名字是以路由器的名字與DNS域名相接合為名字；

Switch(config)#crypto key generate rsa

//生成一個rsa算法的密鑰，密鑰長度為默認長，也可以通過執行crypto key generate rsa general-keys modulus 1024來指定密鑰的長度；

（提示：在Cisoc中rsa支持360-2048位，該算法的原理是：主機將自己的公用密鑰分發給相關的客戶機，客戶機在訪問主機時則使用該主機的公開密鑰來加密數據，主機則使用自己的私有的密鑰來解密數據，從而實現主機密鑰認證，確定客戶機的可靠身份。)

Switch(config)#ip ssh time-out 120

//設置ssh時間為120秒(默認為120秒)

Switch(config)#ip ssh authentication 4

//設置ssh認證重復次數為4，可以在0-5之間選擇

Switch(config)#line vty 0 4

//進入vty模式

ra(config-line)#transport input ssh

//設置vty的登錄模式為ssh，默認情況下是all即允許所有登錄

Switch(config)#access-class aclname

//鏈接acl策略，只允許網絡管理員鏈接；

Switch (config-line)#login local

sw1(config)# line vty 0 15

sw1(config-line)# transport input ssh

//此時只有0-4為ssh，所以telnet還可以通過其他 5-15登錄，若執行該命令后則telnet將不能進行登錄；

Switch(config)#aaa new-model

//啟用aaa認證，默認即為在本地服務器上進行認證，也可以執行aaa authentication login default local指定在本地服務器上進行認證；

ra(config-line)#username sshadmin password 0 sshpassword

//創建一個用戶admin并設置其密碼為sshpassword。

service password-encryption

//將上述所配置密碼加密保存；

Show run

Show ip ssh

//可以通過上述命令來查看ssh配置；

crypto key zeroize rsa

//停止Ssh服務；