03-安全配置指导

12-SSH配置

1.2.2 生成本地DSA、ECDSA或RSA密钥对

1.2.7 开启NETCONF over SSH服务器功能

1.2.8 配置SSH客户端登录时使用的用户线

1.3.1 Stelnet客户端配置任务简介

1.3.2 生成本地DSA、ECDSA或RSA密钥对

1.3.3 配置Stelnet客户端发送SSH报文使用的源IP地址

1.3.4 建立与Stelnet服务器的连接

1.4 配置SFTP客户端

1.4.1 SFTP客户端配置任务简介

1.4.2 生成本地DSA、ECDSA或RSA密钥对

1.4.3 配置SFTP客户端发送SFTP报文使用的源IP地址

1.6.1 配置SSH2协议密钥交换算法优先列表

1.6.2 配置SSH2协议主机签名算法优先列表

1.6.3 配置SSH2协议加密算法优先列表

1.6.4 配置SSH2协议MAC算法优先列表

1.7 SSH显示和维护

1.8 Stelnet典型配置举例

1.8.1 设备作为Stelnet服务器配置举例（password认证）

1.8.2 设备作为Stelnet服务器配置举例（publickey认证）

1.8.3 设备作为Stelnet客户端配置举例（password认证）

1.8.4 设备作为Stelnet客户端配置举例（publickey认证）

1.9 SFTP典型配置举例

1.9.1 设备作为SFTP服务器配置举例（password认证）

1.9.2 设备作为SFTP客户端配置举例（publickey认证）

1.10 SCP典型配置举例

1.10.1 SCP文件传输配置举例（password认证）

1.11 NETCONF over SSH典型配置举例

1.11.1 NETCONF over SSH配置举例（password认证）

1 SSH

1.1 SSH简介

SSH是Secure Shell（安全外壳）的简称，是一种在不安全的网络环境中，通过加密机制和认证机制，实现安全的远程访问以及文件传输等业务的网络安全协议。

SSH协议采用了典型的客户端/服务器模式，并基于TCP协议协商建立用于保护数据传输的会话通道。SSH协议有两个版本，SSH1.x和SSH2.0（本文简称SSH1和SSH2），两者互不兼容。SSH2在性能和安全性方面比SSH1有所提高。

设备既可以支持SSH服务器功能，接受多个SSH客户端的连接，也可以支持SSH客户端功能，允许用户通过设备与远程SSH服务器建立SSH连接。

目前，设备支持以下几种SSH应用。

· Secure Telnet：简称Stelnet，可提供安全可靠的网络终端访问服务，使得用户可以安全登录到远程设备，且能保护远程设备不受诸如IP地址欺诈、明文密码截取等攻击。设备可支持Stelnet服务器、Stelnet客户端功能。

· Secure FTP：简称SFTP，基于SSH2，可提供安全可靠的网络文件传输服务，使得用户可以安全登录到远程设备上进行文件管理操作，且能保证文件传输的安全性。设备可支持SFTP服务器、SFTP客户端功能。

· Secure Copy：简称SCP，基于SSH2，可提供安全的文件复制功能。设备可支持SCP服务器、SCP客户端功能。

· NETCONF over SSH：基于SSH2，提供通过SSH连接给设备下发NETCONF指令的功能，使得用户可以安全登录到远程设备并直接进入到设备的NETCONF系统中进行配置和管理操作。设备仅支持作为NETCONF over SSH连接的服务器端。关于NETCONF系统的详细介绍，请参见“网络管理和监控配置指导”中的“NETCONF”。

目前，设备作为Stelnet服务器、SFTP服务器、SCP服务器时，支持SSH2和SSH1两个版本；设备作为SSH客户端时，只支持SSH2版本；设备作为NETCONF over SSH服务器端时，只支持SSH2版本。

1.1.1 SSH工作过程

本小节以SSH2为例介绍SSH工作的过程，具体分为表1-1所述的几个阶段，关于各阶段的详细介绍，请参见“SSH技术白皮书”。

表1-1 SSH工作过程

阶段	说明
连接建立	SSH服务器在22号端口侦听客户端的连接请求，在客户端向服务器端发起连接请求后，双方建立一个TCP连接
版本协商	双方通过版本协商确定最终使用的SSH版本号
算法协商	SSH支持多种算法，双方根据本端和对端支持的算法，协商出最终用于产生会话密钥的密钥交换算法、用于数据信息加密的加密算法、用于进行数字签名和认证的公钥算法，以及用于数据完整性保护的HMAC算法
密钥交换	双方通过DH（Diffie-Hellman Exchange）交换，动态地生成用于保护数据传输的会话密钥和用来标识该SSH连接的会话ID，并完成客户端对服务器端的身份认证
用户认证	SSH客户端向服务器端发起认证请求，服务器端对客户端进行认证
会话请求	认证通过后，SSH客户端向服务器端发送会话请求，请求服务器提供某种类型的服务（目前支持Stelnet、SFTP、SCP、NETCONF），即请求与服务器建立相应的会话
会话交互	会话建立后，SSH服务器端和客户端在该会话上进行数据信息的交互该阶段，用户在客户端可以通过粘贴文本内容的方式执行命令，但文本会话不能超过2000字节，且粘贴的命令最好是同一视图下的命令，否则服务器可能无法正确执行该命令。如果粘贴的文本会话超过2000字节，可以采用将配置文件通过SFTP方式上传到服务器，利用新的配置文件重新启动的方式执行这些命令

1.1.2 SSH认证方式

设备作为SSH服务器可提供以下四种对客户端的认证方式：

· password认证：利用AAA（Authentication、Authorization、Accounting，认证、授权和计费）对客户端身份进行认证。客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器；服务器将认证请求解密后得到用户名和密码的明文，通过本地认证或远程认证验证用户名和密码的合法性，并返回认证成功或失败的消息。

· publickey认证：采用数字签名的方式来认证客户端。目前，设备上可以利用DSA、ECDSA、RSA三种公钥算法实现数字签名。客户端发送包含用户名、公钥和公钥算法或者携带公钥信息的数字证书的publickey认证请求给服务器端。服务器对公钥进行合法性检查，如果合法，则发送消息请求客户端的数字签名；如果不合法，则直接发送失败消息；服务器收到客户端的数字签名之后，使用客户端的公钥对其进行解密，并根据计算结果返回认证成功或失败的消息。

· password-publickey认证：对于SSH2版本的客户端，要求同时进行password和publickey两种方式的认证，且只有两种认证均通过的情况下，才认为客户端身份认证通过；对于SSH1版本的客户端，只要通过其中任意一种认证即可。

· any认证：不指定客户端的认证方式，客户端可采用password认证或publickey认证，且只要通过其中任何一种认证即可。

关于AAA以及公钥相关内容的介绍请分别参考“安全配置指导”中的“AAA”和“公钥管理”。

· 客户端进行password认证时，如果远程认证服务器要求用户进行二次密码认证，则会在发送给服务器端的认证回应消息中携带一个提示信息，该提示信息被服务器端透传给客户端，由客户端输出并要求用户再次输入一个指定类型的密码，当用户提交正确的密码并成功通过认证服务器的验证后，服务器端才会返回认证成功的消息。

· SSH1版本的SSH客户端不支持AAA服务器发起的二次密码认证。

1.2 配置SSH服务器

1.2.1 SSH服务器配置任务简介

表1-2 SSH服务器配置任务简介

配置任务	说明	详细配置
生成本地DSA、ECDSA或RSA密钥对	必选	1.2.2
配置SSH服务端口号	可选	1.2.3
开启Stelnet服务器功能	仅对于Stelnet服务器必选	1.2.4
开启SFTP服务器功能	仅对于SFTP服务器必选	1.2.5
开启SCP服务器功能	仅对于SCP服务器必选	1.2.6
开启NETCONF over SSH服务器功能	仅对NETCONF over SSH服务器必选	1.2.7
配置SSH客户端登录时使用的用户线	仅对Stelnet客户端和NETCONF over SSH客户端必选	1.2.8
配置客户端的公钥	采用publickey、password-publickey或any认证方式时必选	1.2.9
配置认证客户端证书的PKI域	采用publickey认证方式且客户端使用证书认证时必选该PKI域中必须保存了用于认证客户端证书的CA证书	请参见“安全配置指导”中的“PKI配置”
配置SSH用户	采用publickey、password-publickey或any认证方式时必选采用password认证方式时可选	1.2.10
配置SSH管理功能	可选	1.2.11

1.2.2 生成本地DSA、ECDSA或RSA密钥对

服务器端的DSA、ECDSA或RSA密钥对有两个用途，其一是用于在密钥交换阶段生成会话密钥和会话ID，另外一个是客户端用它来对连接的服务器进行认证。客户端验证服务器身份时，首先判断服务器发送的公钥与本地保存的服务器公钥是否一致，确认服务器公钥正确后，再使用该公钥对服务器发送的数字签名进行验证。

虽然一个客户端只会采用DSA、ECDSA或RSA公钥算法中的一种来认证服务器，但是由于不同客户端支持的公钥算法不同，为了确保客户端能够成功登录服务器，建议在服务器上同时生成DSA、ECDSA和RSA三种密钥对。

· 生成RSA密钥对时，将同时生成两个密钥对——服务器密钥对和主机密钥对。SSH1利用SSH服务器端的服务器公钥加密会话密钥，以保证会话密钥传输的安全；SSH2通过DH算法在SSH服务器和SSH客户端上生成会话密钥，不需要传输会话密钥，因此SSH2中没有利用服务器密钥对。

· 生成DSA密钥对时，只生成一个主机密钥对。SSH1不支持DSA算法。

· 生成ECDSA密钥对时，只生成一个主机密钥对。

服务器端生成本地DSA、ECDSA或RSA密钥对，需要注意的是：

· SSH仅支持默认名称的本地DSA、ECDSA或RSA密钥对，不支持指定名称的本地DSA、ECDSA或RSA密钥对。关于密钥对生成命令的相关介绍请参见“安全命令参考”中的“公钥管理”。

· 生成DSA密钥对时，要求输入的密钥模数的长度必须小于2048比特。

· SSH服务器只支持secp256r1类型的ECDSA密钥对。

需要注意的是，如果服务器端不存在默认名称的本地RSA密钥对，则在服务器端执行SSH服务器相关命令行时（包括开启Stelnet/SFTP/SCP/NETCONF over SSH服务器、配置SSH用户、以及配置SSH服务器端的管理功能），系统会自动生成一个默认名称的本地RSA密钥对。

表1-3 生成本地DSA、ECDSA或RSA密钥对

操作	命令	说明
进入系统视图	system-view	-
生成本地DSA、ECDSA或RSA密钥对	public-key local create { dsa \| ecdsa secp256r1 \| rsa }	缺省情况下，不存在任何DSA、ECDSA、RSA密钥对

1.2.3 配置SSH服务端口号

用户通过修改SSH服务端口号，可以提高SSH连接的安全性。

如果修改端口号前SSH服务是开启的，则修改端口号后系统会自动重启SSH服务，正在访问的用户将被断开，用户需要重新建立SSH连接后才可以继续访问。

如果使用1～1024之间的知名端口号，有可能会导致其他服务启动失败。

设备作为SSH重定向服务器时，对于不同SSH重定向方式，修改服务器上的SSH服务端口号影响不同：

· 如果用户通过指定重定向端口号登录到目的设备，则在修改端口号后，已经建立的SSH重定向连接不受影响。

· 如果用户通过指定用户线绝对编号登录到目的设备，则在修改端口号后SSH重定向连接断开，用户使用修改后的端口号重新建立SSH连接才能访问目的设备。

表1-4 配置SSH服务端口号

操作	命令	说明
进入系统视图	system-view	-
配置SSH服务端口号	ssh server port port-number	缺省情况下，SSH服务的端口号为22

1.2.4 开启Stelnet服务器功能

该配置任务用于开启设备上的Stelnet服务器功能，使客户端能采用Stelnet的方式登录到设备。

表1-5 开启Stelnet服务器功能

操作	命令	说明
进入系统视图	system-view	-
开启Stelnet服务器功能	ssh server enable	缺省情况下，Stelnet服务器功能处于关闭状态

1.2.5 开启SFTP服务器功能

该配置任务用于开启设备上的SFTP服务器功能，使客户端能采用SFTP的方式登录到设备。

设备作为SFTP服务器时，不支持SSH1版本的客户端发起的SFTP连接。

表1-6 开启SFTP服务器功能

操作	命令	说明
进入系统视图	system-view	-
开启SFTP服务器功能	sftp server enable	缺省情况下，SFTP服务器处于关闭状态

1.2.6 开启SCP服务器功能

该配置任务用于开启设备上的SCP服务器功能，使客户端能采用SCP的方式登录到设备。

设备作为SCP服务器时，不支持SSH1版本的客户端发起的SCP连接。

表1-7 开启SCP服务器功能

操作	命令	说明
进入系统视图	system-view	-
开启SCP服务器功能	scp server enable	缺省情况下，SCP服务器处于关闭状态

1.2.7 开启NETCONF over SSH服务器功能

该配置任务用于开启设备上的NETCONF over SSH服务器功能，使得客户端能够使用支持NETCONF over SSH连接的客户端配置工具给设备下发NETCONF指令来实现对设备的访问。

设备作为NETCONF over SSH服务器时，不支持SSH1版本的客户端发起的SSH连接。

表1-8 开启NETCONF over SSH服务器功能

操作	命令	说明
进入系统视图	system-view	-
开启NETCONF over SSH服务器功能	netconf ssh server enable	缺省情况下，NETCONF over SSH服务器处于关闭状态关于NETCONF over SSH服务器相关命令的详细介绍，请见“网络管理和监控命令参考”中的“NETCONF”

操作

命令

说明

进入系统视图

system-view

开启NETCONF over SSH服务器功能

netconf ssh server enable

缺省情况下，NETCONF over SSH服务器处于关闭状态

关于NETCONF over SSH服务器相关命令的详细介绍，请见“网络管理和监控命令参考”中的“NETCONF”

1.2.8 配置SSH客户端登录时使用的用户线

设备支持的SSH客户端根据不同的应用可分为：Stelnet客户端、SFTP客户端、SCP客户端和NETCONF over SSH客户端。

· Stelnet客户端和NETCONF over SSH客户端通过VTY（Virtual Type Terminal，虚拟类型终端）用户线访问设备。因此，需要配置客户端登录时采用的VTY用户线，使其支持SSH远程登录协议。配置将在客户端下次登录时生效。

· SFTP客户端和SCP客户端不通过用户线访问设备，不需要配置登录时采用的VTY用户线。

表1-9 配置SSH客户端登录时使用的用户线

操作	命令	说明
进入系统视图	system-view	-
进入VTY用户线视图	line vty number [ ending-number ]	-
配置登录用户线的认证方式为scheme方式	authentication-mode scheme	缺省情况下，用户线认证为password方式该命令的详细介绍，请参见“基础配置命令参考”中的“登录设备”

1.2.9 配置客户端的公钥

服务器在采用publickey方式验证客户端身份时，首先比较客户端发送的SSH用户名、主机公钥是否与本地配置的SSH用户名以及相应的客户端主机公钥一致，在确认用户名和客户端主机公钥正确后，对客户端发送的数字签名进行验证，该签名是客户端利用主机公钥对应的私钥计算出的。因此，在采用publickey、password-publickey或any认证方式时，需要在服务器端配置客户端的DSA、ECDSA或RSA主机公钥，并在客户端为该SSH用户指定与主机公钥对应的DSA、ECDSA或RSA主机私钥（若设备作为客户端，则在向服务器发起连接时通过指定公钥算法来实现）。

服务器端可以通过手工配置和从公钥文件中导入两种方式来配置客户端的公钥：

· 手工配置：事先在客户端上通过显示命令或其它方式查看其公钥信息，并记录客户端主机公钥的内容，然后采用手工输入的方式将客户端的公钥配置到服务器上。手工输入远端主机公钥时，可以逐个字符输入，也可以一次拷贝粘贴多个字符。这种方式要求手工输入或拷贝粘贴的主机公钥必须是未经转换的DER（Distinguished Encoding Rules，特异编码规则）公钥编码格式。

· 从公钥文件中导入：事先将客户端的公钥文件保存到服务器上（例如，通过FTP或TFTP，以二进制方式将客户端的公钥文件保存到服务器），服务器从本地保存的该公钥文件中导入客户端的公钥。导入公钥时，系统会自动将客户端公钥文件转换为PKCS（Public Key Cryptography Standards，公共密钥加密标准）编码形式。

手工配置客户端的公钥时，输入的主机公钥必须满足一定的格式要求。通过display public-key local public命令显示的公钥可以作为输入的公钥内容；通过其他方式（如public-key local export命令）显示的公钥可能不满足格式要求，导致主机公钥保存失败。因此，建议选用从公钥文件导入的方式配置远端主机的公钥。

SSH服务器上配置的SSH客户端公钥数目建议不要超过20个。

表1-10 手工配置客户端的公钥

操作	命令	说明
进入系统视图	system-view	-
进入公钥视图	public-key peer keyname	-
配置客户端的公钥	逐个字符输入或拷贝粘贴公钥内容	在输入公钥内容时，字符之间可以有空格，也可以按回车键继续输入数据, 保存公钥数据时，将删除空格和回车符具体介绍请参见“安全配置指导”中的“公钥管理”
退回系统视图	peer-public-key end	-

表1-11 从公钥文件中导入客户端的公钥

操作	命令	说明
进入系统视图	system-view	-
从公钥文件中导入远端客户端的公钥	public-key peer keyname import sshkey filename	-

1.2.10 配置SSH用户

本配置用于创建SSH用户，并指定SSH用户的服务类型、认证方式以及对应的客户端公钥或数字证书。SSH用户的配置与服务器端采用的认证方式有关，具体如下：

· 如果服务器采用了publickey认证，则必须在设备上创建相应的SSH用户，以及同名的本地用户（用于下发授权属性：工作目录、用户角色）。

· 如果服务器采用了password认证，则必须在设备上创建相应的本地用户（适用于本地认证），或在远程服务器（如RADIUS服务器，适用于远程认证）上创建相应的SSH用户。这种情况下，并不需要通过本配置创建相应的SSH用户，如果创建了SSH用户，则必须保证指定了正确的服务类型以及认证方式。

· 如果服务器采用了password-publickey或any认证，则必须在设备上创建相应的SSH用户，以及在设备上创建同名的本地用户（适用于本地认证）或者在远程认证服务器上创建同名的SSH用户（如RADIUS服务器，适用于远程认证）。

配置SSH用户时，需要注意：

· SCP或SFTP用户登录时使用的工作目录与用户使用的认证方式有关。通过publickey或password-publickey认证登录服务器的用户使用的工作目录均为对应的本地用户视图下为该用户设置的工作目录；通过password认证登录服务器的用户，使用的工作目录为通过AAA授权的工作目录。

· 通过publickey或password-publickey认证登录服务器的SSH用户将被授予对应的本地用户视图下指定的用户角色；通过password认证登录服务器的SSH用户将被授予远程AAA服务器或设备本地授权的用户角色。

· 对SSH用户配置的修改，不会影响已经登录的SSH用户，仅对新登录的用户生效。

· 除password认证方式外，其它认证方式下均需要指定客户端的公钥或证书。

¡ 对于使用公钥认证的SSH用户，服务器端必须指定客户端的公钥，且指定的公钥必须已经存在，公钥内容的配置请参见“1.2.9 配置客户端的公钥”。

¡ 对于使用证书认证的SSH用户，服务器端必须指定用于验证客户端证书的PKI域，PKI域的配置请参见“安全配置指导”中的“PKI域配置”。为保证SSH用户可以成功通过认证，通过ssh user命令指定的PKI域中必须存在用于验证客户端证书的CA证书。

关于本地用户以及远程认证的相关配置请参见“安全配置指导”中的“AAA”。

表1-12 配置SSH用户

操作	命令	说明
进入系统视图	system-view	-
创建SSH用户，并指定SSH用户的服务类型和认证方式	ssh user username service-type { all \| netconf \| scp \| sftp \| stelnet } authentication-type { password \| { any \| password-publickey \| publickey } assign { pki-domain domain-name \| publickey keyname } }	SSH服务器上最多可以创建1024个SSH用户

1.2.11 配置SSH管理功能

通过配置服务器上的SSH管理功能，可提高SSH连接的安全性。SSH的管理功能包括：

· 设置SSH服务器是否兼容SSH1版本的客户端。

· 设置RSA服务器密钥对的最小更新间隔时间，此配置仅对SSH客户端版本为SSH1的用户有效，SSH的核心是密钥的协商和传输，因此密钥的管理是非常重要的，可灵活设置最小更新间隔时间。

· 设置SSH用户认证的超时时间。为了防止不法用户建立起TCP连接后，不进行接下来的认证，而是空占着进程，妨碍其它合法用户的正常登录，可以设置验证超时时间，如果在规定的时间内没有完成认证就拒绝该连接。

· 设置SSH用户请求连接的认证尝试最大次数，限制登录的重试次数，防止非法用户对用户名和密码进行恶意地猜测和破解。在any认证方式下，SSH客户端通过publickey和password两种方式进行认证尝试的次数总和，不能超过配置的SSH连接认证尝试次数。

· 设置对SSH客户端的访问控制，使用ACL过滤向SSH服务器发起连接的SSH客户端。

· 设置SSH服务器向SSH客户端发送的报文的DSCP优先级。DSCP携带在IPv4报文中的ToS字段和IPv6报文中的Trafic class字段，用来体现报文自身的优先等级，决定报文传输的优先程度。

· 设置SFTP用户连接的空闲超时时间。当SFTP用户连接的空闲时间超过设定的阈值后，系统会自动断开此用户的连接，从而有效避免用户长期占用连接而不进行任何操作。

· 设置同时在线的最大SSH用户连接数。系统资源有限，当前在线SSH用户数超过设定的最大值时，系统会拒绝新的SSH连接请求。

表1-13 配置SSH管理功能

操作	命令	说明
进入系统视图	system-view	-
设置SSH服务器兼容SSH1版本的客户端	ssh server compatible-ssh1x enable	缺省情况下，SSH服务器不兼容SSH1版本的客户端
设置RSA服务器密钥对的最小更新间隔时间	ssh server rekey-interval interval	缺省情况下，系统不更新RSA服务器密钥对
设置SSH用户的认证超时时间	ssh server authentication-timeout time-out-value	缺省情况下，SSH用户的认证超时时间为60秒
设置SSH认证尝试的最大次数	ssh server authentication-retries retries	缺省情况下，SSH连接认证尝试的最大次数为3次
设置对IPv4 SSH用户的访问控制	ssh server acl [ mac ] acl-number	缺省情况下，允许所有IPv4 SSH用户向设备发起SSH访问
设置对IPv6 SSH用户的访问控制	ssh server ipv6 acl { ipv6 \| mac } acl-number	缺省情况下，允许所有IPv6 SSH用户向设备发起SSH访问
设置Pv4 SSH服务器向SSH客户端发送的报文的DSCP优先级	ssh server dscp dscp-value	缺省情况下，IPv4 SSH报文的DSCP优先级为48
设置IPv6 SSH服务器向SSH客户端发送的报文的DSCP优先级	ssh server ipv6 dscp dscp-value	缺省情况下，IPv6 SSH报文的DSCP优先级为48
设置SFTP用户连接的空闲超时时间	sftp server idle-timeout time-out-value	缺省情况下，SFTP用户连接的空闲超时时间为10分钟
设置同时在线的最大SSH用户连接数	aaa session-limit ssh max-sessions	缺省的最大SSH用户连接数为32 该值的修改不会对已经在线的用户连接造成影响，只会对新的用户连接生效关于该命令的详细介绍，请参见“安全命令参考”中的“AAA”

1.3 配置Stelnet客户端

1.3.1 Stelnet客户端配置任务简介

表1-14 Stelnet客户端配置任务简介

配置任务	说明	详细配置
生成本地DSA、ECDSA或RSA密钥对	仅采用publickey、password-publickey或any认证方式时必选	1.3.2
配置Stelnet客户端发送SSH报文使用的源IP地址	可选	1.3.3
建立与Stelnet服务器端的连接	必选	1.3.4

1.3.2 生成本地DSA、ECDSA或RSA密钥对

客户端采用publickey、password-publickey或any认证方式时，需要生成本地密钥对。

客户端生成本地DSA、ECDSA或RSA密钥对，需要注意的是：

· 生成DSA密钥对时，要求输入的密钥模数的长度必须小于2048比特。

· SSH客户端只支持secp256r1类型的ECDSA密钥对。

表1-15 生成本地DSA、ECDSA或RSA密钥对

操作	命令	说明
进入系统视图	system-view	-
生成本地DSA、ECDSA或RSA密钥对	public-key local create { dsa \| ecdsa secp256r1 \| rsa }	缺省情况下，不存在任何DSA、ECDSA、RSA密钥对

1.3.3 配置Stelnet客户端发送SSH报文使用的源IP地址

Stelnet客户端与Stelnet服务器通信时，缺省采用路由决定的源IP地址作为发送报文的源地址。如果使用本配置指定了源IP地址或源接口，则采用该地址与服务器进行通信。为保证Stelnet客户端与Stelnet服务器通信链路的可达性，以及增加认证业务对SFTP客户端的可管理性，通常建议指定Loopback接口或Dialer接口的IP地址作为源IP地址。

表1-16 配置Stelnet客户端发送SSH报文使用的源IP地址

操作		命令	说明
进入系统视图		system-view	-
配置Stelnet客户端发送SSH报文使用的源IP地址	配置Stelnet客户端发送SSH报文使用的源IPv4地址	ssh client source { interface interface-type interface-number \| ip ip-address }	二者必选其一缺省情况下，IPv4 Stelnet客户端采用设备路由指定的SSH报文出接口主IP地址作为源IP地址；IPv6 Stelnet客户端采用设备自动选择的IPv4地址作为源IP地址
配置Stelnet客户端发送SSH报文使用的源IP地址	配置Stelnet客户端发送SSH报文使用的源IPv6地址	ssh client ipv6 source { interface interface-type interface-number \| ipv6 ipv6-address }

1.3.4 建立与Stelnet服务器的连接

该配置任务用来启动Stelnet客户端程序，与远程Stelnet服务器建立连接，并指定公钥算法、首选加密算法、首选HMAC算法和首选密钥交换算法等。

Stelnet客户端访问服务器时，需要通过本地保存的服务器端的主机公钥来验证服务器的身份。设备作为Stelnet客户端时，默认支持首次认证，即当Stelnet客户端首次访问服务器，而客户端没有配置服务器端的主机公钥时，用户可以选择继续访问该服务器，并在客户端保存该主机公钥；当用户下次访问该服务器时，就以保存的主机公钥来认证该服务器。首次认证在比较安全的网络环境中可以简化客户端的配置，但由于该方式下客户端完全相信服务器公钥的正确性，因此存在一定的安全隐患。

表1-17 建立与Stelnet服务器的连接

操作	命令	说明
与Stelnet服务器端建立连接	与IPv4 Stelnet服务器端建立连接	ssh2 server [ port-number ] [ vpn-instance vpn-instance-name ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } ] * [ dscp dscp-value \| escape character \| public-key keyname \| source { interface interface-type interface-number \| ip ip-address } ] *	二者至少选其一请在用户视图下执行本命令
与IPv6 Stelnet服务器端建立连接	ssh2 ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } ] * [ dscp dscp-value \| escape character \| public-key keyname \| source { interface interface-type interface-number \| ipv6 ipv6-address } ] *

操作

命令

说明

与Stelnet服务器端建立连接

与IPv4 Stelnet服务器端建立连接

ssh2 server [ port-number ] [ vpn-instance vpn-instance-name ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] * [ dscp dscp-value | escape character | public-key keyname | source { interface interface-type interface-number | ip ip-address } ] *

二者至少选其一

请在用户视图下执行本命令

与IPv6 Stelnet服务器端建立连接

ssh2 ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] * [ dscp dscp-value | escape character | public-key keyname | source { interface interface-type interface-number | ipv6 ipv6-address } ] *

1.4 配置SFTP客户端

1.4.1 SFTP客户端配置任务简介

表1-18 SFTP客户端配置任务简介

配置任务	说明	详细配置
生成本地DSA、ECDSA或RSA密钥对	仅采用publickey、password-publickey或any认证方式时必选	1.4.2
配置SFTP客户端发送SFTP报文使用的源IP地址	可选	1.4.3
建立与SFTP服务器端的连接	必选	1.4.4
SFTP目录操作	可选	1.4.5
SFTP文件操作	可选	1.4.6
显示帮助信息	可选	1.4.7
终止与SFTP服务器端的连接	可选	1.4.8

1.4.2 生成本地DSA、ECDSA或RSA密钥对

客户端采用publickey、password-publickey或any认证方式时，需要生成本地密钥对。

客户端生成本地DSA、ECDSA或RSA密钥对，需要注意的是：

· 生成DSA密钥对时，要求输入的密钥模数的长度必须小于2048比特。

· SSH客户端只支持secp256r1类型的ECDSA密钥对。

表1-19 生成本地DSA、ECDSA或RSA密钥对

操作	命令	说明
进入系统视图	system-view	-
生成本地DSA、ECDSA或RSA密钥对	public-key local create { dsa \| ecdsa secp256r1 \| rsa }	缺省情况下，不存在任何DSA、ECDSA和RSA密钥对

1.4.3 配置SFTP客户端发送SFTP报文使用的源IP地址

SFTP客户端与SFTP服务器通信时，缺省采用路由决定的源IP地址作为发送报文的源地址。如果使用本配置指定了源IP地址或源接口，则采用该地址与服务器进行通信。为保证SFTP客户端与SFTP服务器通信链路的可达性，以及增加认证业务对SFTP客户端的可管理性，通常建议指定Loopback接口或Dialer接口的IP地址作为源IP地址。

表1-20 配置SFTP客户端发送SFTP报文使用的源IP地址

操作		命令	说明
进入系统视图		system-view	-
配置SFTP客户端发送SFTP报文使用的源IP地址	配置SFTP客户端发送SFTP报文使用的源IPv4地址	sftp client source { ip ip-address \| interface interface-type interface-number }	二者必选其一缺省情况下，IPv4客户端采用设备路由指定的SFTP报文的出接口主iP地址作为源IP地址；IPv6客户端采用设备自动选择的iPv6地址作为源IP地址
配置SFTP客户端发送SFTP报文使用的源IP地址	配置SFTP客户端发送SFTP报文使用的源IPv6地址	sftp client ipv6 source { ipv6 ipv6-address \| interface interface-type interface-number }

1.4.4 建立与SFTP服务器的连接

该配置任务用来启动SFTP客户端程序，与远程SFTP服务器建立连接，并指定公钥算法、首选加密算法、首选HMAC算法和首选密钥交换算法等。SFTP客户端与服务器成功建立连接之后，用户即可进入到服务器端上的SFTP客户端视图下进行目录、文件等操作。

SFTP客户端访问服务器时，需要通过本地保存的服务器端的主机公钥来验证服务器的身份。设备作为SFTP客户端时，默认支持首次认证，即当SFTP客户端首次访问服务器，而客户端没有配置服务器端的主机公钥时，用户可以选择继续访问该服务器，并在客户端保存该主机公钥；当用户下次访问该服务器时，就以保存的主机公钥来认证该服务器。首次认证在比较安全的网络环境中可以简化客户端的配置，但由于该方式下客户端完全相信服务器公钥的正确性，因此存在一定的安全隐患。

表1-21 建立与SFTP服务器端的连接

操作	命令	说明
与SFTP服务器建立连接，并进入SFTP客户端视图	与IPv4 SFTP服务器建立连接，并进入SFTP客户端视图	sftp server [ port-number ] [ vpn-instance vpn-instance-name ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } ] * [ dscp dscp-value \| public-key keyname \| source { interface interface-type interface-number \| ip ip-addres} ] *	二者至少选其一请在用户视图下执行此命令
与IPv6 SFTP服务器建立连接，并进入SFTP客户端视图	sftp ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } ] * [ dscp dscp-value \| public-key keyname \| source { interface interface-type interface-number \| ipv6 ipv6-addres} ] *

操作

命令

说明

与SFTP服务器建立连接，并进入SFTP客户端视图

与IPv4 SFTP服务器建立连接，并进入SFTP客户端视图

sftp server [ port-number ] [ vpn-instance vpn-instance-name ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] * [ dscp dscp-value | public-key keyname | source { interface interface-type interface-number | ip ip-addres} ] *

二者至少选其一

请在用户视图下执行此命令

与IPv6 SFTP服务器建立连接，并进入SFTP客户端视图

sftp ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] * [ dscp dscp-value | public-key keyname | source { interface interface-type interface-number | ipv6 ipv6-addres} ] *

1.4.5 SFTP目录操作

SFTP目录操作包括：改变或显示当前的工作路径、显示指定目录下的文件或目录信息、改变服务器上指定的文件夹的名字、创建或删除目录等操作。

表1-22 SFTP目录操作

操作	命令	说明
进入SFTP客户端视图	具体命令请参考1.4.4	-
改变远程SFTP服务器上的工作路径	cd [ remote-path ]	-
返回到上一级目录	cdup	-
显示远程SFTP服务器上的当前工作目录	pwd	-
显示指定目录下的文件列表	dir [ -a \| -l ] [ remote-path ]	dir和ls两条命令的作用相同
显示指定目录下的文件列表	ls [ -a \| -l ] [ remote-path ]	dir和ls两条命令的作用相同
改变SFTP服务器上指定的目录的名字	rename old-name new-name	-
在远程SFTP服务器上创建新的目录	mkdir remote-path	-
删除SFTP服务器上指定的目录	rmdir remote-path	-

1.4.6 SFTP文件操作

SFTP文件操作包括：改变文件名、下载文件、上传文件、显示文件列表和删除文件。

表1-23 SFTP文件操作

操作	命令	说明
进入SFTP客户端视图	具体命令请参考1.4.4	-
改变SFTP服务器上指定的文件的名字	rename old-name new-name	-
从远程服务器上下载文件并存储在本地	get remote-file [ local-file ]	-
将本地的文件上传到远程SFTP服务器	put local-file [ remote-file ]	-
显示指定目录下的文件	dir [ -a \| -l ] [ remote-path ]	dir和ls两条命令的作用相同
显示指定目录下的文件	ls [ -a \| -l ] [ remote-path ]	dir和ls两条命令的作用相同
删除SFTP服务器上指定的文件	delete remote-file	delete和remove两条命令的功能相同
删除SFTP服务器上指定的文件	remove remote-file	delete和remove两条命令的功能相同

1.4.7 显示帮助信息

本配置用于显示命令的帮助信息，如命令格式、参数配置等。

表1-24 显示客户端命令的帮助信息

操作	命令	说明
进入SFTP客户端视图	具体命令请参考1.4.4	-
显示SFTP客户端命令的帮助信息	help	二者选其一 help和？的功能相同
显示SFTP客户端命令的帮助信息	？	二者选其一 help和？的功能相同

1.4.8 终止与SFTP服务器的连接

表1-25 终止与SFTP服务器的连接

操作	命令	说明
进入SFTP客户端视图	具体命令请参考1.4.4	-
终止与SFTP服务器的连接，并退回用户视图	bye	三者选其一 bye、exit和quit三条命令的功能相同
	exit
	quit

1.5 配置SCP客户端

1.5.1 生成本地DSA或RSA密钥对

客户端采用publickey、password-publickey或any认证方式时，需要生成本地密钥对。

客户端生成本地DSA或RSA密钥对，需要注意的是：

· 生成DSA密钥对时，要求输入的密钥模数的长度必须小于2048比特。

· SSH客户端只支持secp256r1类型的ECDSA密钥对。

表1-26 生成本地DSA、ECDSA或RSA密钥对

操作	命令	说明
进入系统视图	system-view	-
生成本地DSA、ECDSA或RSA密钥对	public-key local create { dsa \| ecdsa secp256r1 \| rsa }	缺省情况下，不存在任何DSA、ECDSA和RSA密钥对

1.5.2 与远程SCP服务器传输文件

该配置任务用来启动SCP客户端程序，与远程SCP服务器建立连接，并进行安全的文件传输操作。

SCP客户端访问服务器时，需要通过本地保存的服务器端的主机公钥来验证服务器的身份。设备作为SCP客户端时，默认支持首次认证，即当SCP客户端首次访问服务器，而客户端没有配置服务器端的主机公钥时，用户可以选择继续访问该服务器，并在客户端保存该主机公钥；当用户下次访问该服务器时，就以保存的主机公钥来认证该服务器。首次认证在比较安全的网络环境中可以简化客户端的配置，但由于该方式下客户端完全相信服务器公钥的正确性，因此存在一定的安全隐患。

表1-27 与远程SCP服务器传输文件

操作	命令	说明
与远程SCP服务器建立连接，并进行文件传输	与远程IPv4 SCP服务器建立连接，并进行文件传输	scp server [ port-number ] [ vpn-instance vpn-instance-name ] { put \| get } source-file-name [ destination-file-name ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 }] * [ public-key keyname \| source { interface interface-type interface-number \| ip ip-address } ] *	二者至少选其一请在用户视图下执行此命令
与远程IPv6 SCP服务器建立连接，并进行文件传输	scp ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] { put \| get } source-file-name [ destination-file-name ] [ identity-key { dsa \| ecdsa \| rsa } \| prefer-compress zlib \| prefer-ctos-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-ctos-hmac { md5 \| md5-96 \| sha1 \| sha1-96 } \| prefer-kex { dh-group-exchange-sha1 \| dh-group1-sha1 \| dh-group14-sha1 } \| prefer-stoc-cipher { 3des-cbc \| aes128-cbc \| aes256-cbc \| des-cbc } \| prefer-stoc-hmac { md5 \| md5-96 \| sha1 \| sha1-96 }] * [ public-key keyname \| source { interface interface-type interface-number \| ipv6 ipv6-address } ] *

操作

命令

说明

与远程SCP服务器建立连接，并进行文件传输

与远程IPv4 SCP服务器建立连接，并进行文件传输

scp server [ port-number ] [ vpn-instance vpn-instance-name ] { put | get } source-file-name [ destination-file-name ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 }] * [ public-key keyname | source { interface interface-type interface-number | ip ip-address } ] *

二者至少选其一

请在用户视图下执行此命令

与远程IPv6 SCP服务器建立连接，并进行文件传输

scp ipv6 server [ port-number ] [ vpn-instance vpn-instance-name ] [ -i interface-type interface-number ] { put | get } source-file-name [ destination-file-name ] [ identity-key { dsa | ecdsa | rsa } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc | aes256-cbc | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 }] * [ public-key keyname | source { interface interface-type interface-number | ipv6 ipv6-address } ] *

1.6 配置SSH2协议算法集

1.6.1 配置SSH2协议密钥交换算法优先列表

设备与对端建立Stelnet、SFTP、SCP会话过程中，将使用指定的密钥交换算法优先列表进行密钥交换协商。密钥交换协商过程中，客户端采用的算法匹配顺序为优先列表中各算法的配置顺序，服务器根据客户端的算法来匹配和协商。

表1-28 配置SSH2协议密钥交换算法优先列表

操作	命令	说明
进入系统视图	system-view	-
配置SSH2协议密钥交换算法优先列表	ssh2 algorithm key-exchange { dh-group-exchange-sha1 \| dh-group14-sha1 \| dh-group1-sha1 } *	缺省情况下， SSH2协议所采用的密钥交换算法优先列表为dh-group-exchange-sha1、dh-group14-sha1、dh-group1-sha1

1.6.2 配置SSH2协议主机签名算法优先列表

设备与对端建立Stelnet、SFTP、SCP会话过程中，将使用指定的主机签名算法优先列表进行主机签名算法协商。主机签名算法协商过程中，客户端采用的算法匹配顺序为优先列表中各算法的配置顺序，服务器根据客户端的算法来匹配和协商。

表1-29 配置SSH2协议主机签名算法优先列表

操作	命令	说明
进入系统视图	system-view	-
配置SSH2协议主机签名算法优先列表	ssh2 algorithm public-key { ecdsa \| dsa \| rsa } *	缺省情况下，SSH2协议所采用的主机签名算法优先列表为：ecdsa、dsa、rsa

1.6.3 配置SSH2协议加密算法优先列表

设备与对端建立Stelnet、SFTP、SCP会话过程中，将使用指定的加密算法优先列表进行加密算法协商。加密算法协商过程中，客户端采用的算法匹配顺序为优先列表中各算法的配置顺序，服务器根据客户端的算法来匹配和协商。

表1-30 配置SSH2协议加密算法优先列表

操作	命令	说明
进入系统视图	system-view	-
配置SSH2协议加密算法优先列表	ssh2 algorithm cipher { aes128-cbc \| aes256-cbc \| 3des-cbc \| des-cbc } *	缺省情况下，SSH2协议所采用的加密算法优先列表为：aes128-cbc、aes256-cbc、3des-cbc des-cbc

1.6.4 配置SSH2协议MAC算法优先列表

设备与对端建立Stelnet、SFTP、SCP会话过程中，将使用指定的MAC算法优先列表进行MAC算法协商。MAC算法协商过程中，客户端采用的算法匹配顺序为优先列表中各算法的配置顺序，服务器根据客户端的算法来匹配和协商。

表1-31 配置SSH2协议MAC算法优先列表

操作	命令	说明
进入系统视图	system-view	-
配置SSH2协议MAC算法优先列表	ssh2 algorithm mac { sha1 \| sha1-96 \| md5 \| md5-96 } *	缺省情况下，SSH2协议所采用的MAC算法优先列表为：sha1、sha1-96、md5、md5-96

1.7 SSH显示和维护

在完成上述配置后，在任意视图下执行display命令，可以显示配置后SSH的运行情况，通过查看显示信息验证配置的效果。

表1-32 SSH显示和维护

操作	命令
显示SFTP客户端的源IP地址配置	display sftp client source
显示Stelnet客户端的源IP地址配置	display ssh client source
在SSH服务器端显示该服务器的状态信息或会话信息	display ssh server { session [ slot slot-number ] \| status }
在SSH服务器端显示SSH用户信息	display ssh user-information [ username ]
显示本地密钥对中的公钥部分	display public-key local { dsa \| ecdsa \| rsa } public [ name publickey-name ]
显示保存在本地的远端主机的公钥信息	display public-key peer [ brief \| name publickey-name ]
显示设备上配置的SSH2协议使用的算法优先列表	display ssh2 algorithm

display public-key local和display public-key peer命令的详细介绍请参见“安全命令参考”中的“公钥管理”。

1.8 Stelnet典型配置举例

1.8.1 设备作为Stelnet服务器配置举例（password认证）

1. 组网需求

· 用户可以通过Host上运行的Stelnet客户端软件（SSH2版本）安全地登录到Device上，并被授予用户角色network-admin进行配置管理；

· Device采用password认证方式对Stelnet客户端进行认证，客户端的用户名和密码保存在本地。

2. 组网图

图1-1 设备作为Stelnet服务器配置组网图

3. 配置步骤

(1) 配置接口IP地址、路由、安全域及域间安全策略保证网络可达，具体配置步骤略。

(2) 配置Stelnet服务器

# 生成RSA密钥对。

<Device> system-view

[Device] public-key local create rsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..................

Create the key pair successfully.

# 生成DSA密钥对。

[Device] public-key local create dsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..................

Create the key pair successfully.

# 生成ECDSA密钥对

[Device] public-key local create ecdsa secp256r1

Generating Keys...

Create the key pair successfully.

# 开启Stelnet服务器功能。

[Device] ssh server enable

# 设置Stelnet客户端登录用户线的认证方式为AAA认证。

[Device] line vty 0 63

[Device-line-vty0-63] authentication-mode scheme

[Device-line-vty0-63] quit

# 创建设备管理类本地用户client001，并设置密码为明文aabbcc，服务类型为SSH，用户角色为network-admin。

[Device] local-user client001 class manage

[Device-luser-manage-client001] password simple aabbcc

[Device-luser-manage-client001] service-type ssh

[Device-luser-manage-client001] authorization-attribute user-role network-admin

[Device-luser-manage-client001] quit

# 配置SSH用户client001的服务类型为Stelnet，认证方式为password认证。（此步骤可以不配置）

[Device] ssh user client001 service-type stelnet authentication-type password

(3) Stelnet客户端建立与Stelnet服务器的连接

Stelnet客户端软件有很多，例如PuTTY、OpenSSH等。本文中仅以客户端软件PuTTY0.58为例，说明Stelnet客户端的配置方法。

# 建立与Stelnet服务器的连接。

打开PuTTY.exe程序，出现如图1-2所示的客户端配置界面。在“Host Name（or IP address）”文本框中输入Stelnet服务器的IP地址为192.168.1.40。

图1-2 Stelnet客户端配置界面

在图1-2中，单击<Open>按钮。按提示输入用户名client001及密码aabbcc，即可进入Device的配置界面。