思科路由器SSH配置指南
本文詳細(xì)的介紹了如何利用SSH替換Telnet的方法，
使用Telnet這個(gè)用來訪問遠(yuǎn)程計(jì)算機(jī)的TCP/IP協(xié)議以控制你的網(wǎng)絡(luò)設(shè)備相當(dāng)于在離開某個(gè)建筑時(shí)大喊你的用戶名和口令。很快地，會(huì)有人進(jìn)行監(jiān)聽，并且他們會(huì)利用你安全意識(shí)的缺乏。
SSH是替代Telnet和其他遠(yuǎn)程控制臺(tái)管理應(yīng)用程序的行業(yè)標(biāo)準(zhǔn)。SSH命令是加密的并以幾種方式進(jìn)行保密。
在使用SSH的時(shí)候，一個(gè)數(shù)字證書將認(rèn)證客戶端（你的工作站）和服務(wù)器（你的網(wǎng)絡(luò)設(shè)備）之間的連接，并加密受保護(hù)的口令。SSH1使用RSA加密密鑰，SSH2使用數(shù)字簽名算法（DSA）密鑰保護(hù)連接和認(rèn)證。
加密算法包括Blowfish，數(shù)據(jù)加密標(biāo)準(zhǔn)（DES），以及三重DES（3DES）。SSH保護(hù)并且有助于防止欺騙，“中間人”攻擊，以及數(shù)據(jù)包監(jiān)聽。
實(shí)施SSH的第一步是驗(yàn)證你的設(shè)備支持SSH.請(qǐng)登錄你的路由器或交換機(jī)，并確定你是否加載了一個(gè)支持SSH的IPSec IOS鏡像。
在我們的例子中，我們將使用Cisco IOS命令。運(yùn)行下面的命令：
Router> Show flash
該命令顯示已加載的IOS鏡像名稱。你可以用結(jié)果對(duì)比你的供應(yīng)商的支持特性列表。
在你驗(yàn)證了你的設(shè)備支持SSH之后，請(qǐng)確保設(shè)備擁有一個(gè)主機(jī)名和配置正確的主機(jī)域，就像下面的一樣：
Router> config terminal
Router (config)# hostname Router
Router (config)# ip domain-name BluShin.cn
在這個(gè)時(shí)候，你就可以啟用路由器上的SSH服務(wù)器。要啟用SSH服務(wù)器，你首先必須利用下面的命令產(chǎn)生一對(duì)RSA密鑰：
Router (config)# crypto key generate rsa
在路由器上產(chǎn)生一對(duì)RSA密鑰就會(huì)自動(dòng)啟用SSH.如果你刪除這對(duì)RSA密鑰，就會(huì)自動(dòng)禁用該SSH服務(wù)器。
實(shí)施SSH的最后一步是啟用認(rèn)證，授權(quán)和審計(jì)（AAA）。在你配置AAA的時(shí)候，請(qǐng)指定用戶名和口令，會(huì)話超時(shí)時(shí)間，一個(gè)連接允許的嘗試次數(shù)。像下面這樣使用命令：
Router (config)# aaa new-model
Router (config)# username BluShin password p4ssw0rd
Router (config)# ip ssh time-out
Router (config)# ip ssh authentication-retries
要驗(yàn)證你已經(jīng)配置了SSH并且它正運(yùn)行在你的路由器上，執(zhí)行下面的命令：
Router# show ip ssh
在驗(yàn)證了配置之后，你就可以強(qiáng)制那些你在AAA配置過程中添加的用戶使用SSH，而不是Telnet.你也可以在虛擬終端（vty）連接中應(yīng)用SSH而實(shí)現(xiàn)同樣的目的。這里給出一個(gè)例子：
Router (config)# line vty 0 4
Router (config-line)# transport input SSH
在你關(guān)閉現(xiàn)存的Telnet會(huì)話之前，你需要一個(gè)SSH終端客戶端程序以測(cè)試你的配置。我極力推薦PuTTY；它是免費(fèi)的，而且它是一個(gè)優(yōu)秀的終端軟件。#p#
配置實(shí)例：
Native IOS設(shè)備的配置
a） 軟件需求
IOS版本12.0.（10）S 以上 含IPSEC 56 Feature
推薦使用 IOS 12.2 IP PLUS IPSEC 56C以上版本
基本上Cisco全系列路由器都已支持，但為運(yùn)行指定版本的軟件您可能需要相應(yīng)地進(jìn)行硬件升級(jí)
b） 定義用戶
user BluShin secret p4ss
c） 定義域名
ip domain-name BluShin.cn //配置SSH必需
d） 生成密鑰
crypto key generate rsa modulus 2048
執(zhí)行結(jié)果：
The name for the keys will be: 6509-mize.myrice.com
% The key modulus size is 2048 bits
Generating RSA keys ...
[OK]
e）指定可以用SSH登錄系統(tǒng)的主機(jī)的源IP地址
access-list 90 remark Hosts allowed to SSH in //低版本可能不支持remark關(guān)鍵字
access-list 90 permit 10.10.1.100
access-list 90 permit 10.10.1.101
f） 限制登錄
line con 0
login local
line vty 0 4
login local //使用本地定義的用戶名和密碼登錄
transport input SSH //只允許用SSH登錄(注意：禁止telnet和從交換引擎session!)
access-class 90 in //只允許指定源主機(jī)登錄
2.CatOS
CatOS設(shè)備的配置
a） 軟件需求
運(yùn)行CatOS的6500/4000交換引擎提供SSH服務(wù)需要一個(gè)6.1以上“k9”版本的軟件，如： cat6000-sup2cvk9.7-4-3.bin 和 cat4000-k9.6-3-3a.bin.
8540/8510交換機(jī)支持SSH需要以上12.1（12c）EY版本軟件。
3550交換機(jī)支持SSH需要12.1（11）EA1以上版本軟件。
其他交換機(jī)可能不支持SSH.
b） 生成密鑰
set crypto key rsa 2048
密鑰的生成需要1-2分鐘，執(zhí)行完畢后可用命令show crypto key查看生成的密鑰。
c） 限制管理工作站地址
set ip permit 10.10.1.100 ssh //只允許使用SSH登錄的工作站
set ip permit 10.10.1.101 ssh
set ip permit enable ssh //檢查SSH連接的源地址
set ip permit enable telnet //檢查telnet連接的源地址
set ip permit enable snmp //檢查snmp請(qǐng)求的源地址
如果服務(wù)的ip permit 處于disable狀態(tài)，所有的連接將被允許（當(dāng)然服務(wù)如telnet本身可能包含用戶認(rèn)證機(jī)制）。如果指定服務(wù)的ip permit 處于enable狀態(tài)，則管理工作站的地址必須事先用set ip permit <管理工作站IP地址> [可選的子網(wǎng)掩碼] [允許使用的服務(wù)類型（ssh/telnet/snmp）]來定義可用命令 show ip permit 來檢查ip permit 的配置,某些服務(wù)可能存在安全漏洞（如http）或協(xié)議本身設(shè)計(jì)就是比較不安全的（如snmp、telnet）。如果服務(wù)不是必要的，可以將之關(guān)閉；如果服務(wù)是必須的，應(yīng)采取措施保證這些服務(wù)僅向合法用戶提供：
6500/4000交換引擎：
set ip http server disable //關(guān)閉http服務(wù)
set ip permit enable snmp //限制SNMP源地址
set snmp comm. read-only //清空預(yù)設(shè)的SNMP COMM字
set snmp comm. read-write
set snmp comm. read-write-all
8500、7500、MSFC等IOS設(shè)備：
no ip http server //關(guān)閉http服務(wù)
no snmp //關(guān)閉snmp服務(wù)
no service dhcp //關(guān)閉 dhcp 服務(wù)
no ip finger //關(guān)閉 finger 服務(wù)
no service tcp-small-server //關(guān)閉tcp基本服務(wù)
no service udp-small-server //關(guān)閉 udp基本服務(wù)
service password-encryption //啟用明文密碼加密服務(wù)
【編輯推薦】
