目  录

1 公钥管理

1.1 简介

1.1.1 非对称密钥算法原理

1.1.2 非对称密钥算法作用

1.2 公钥管理配置任务简介

1.3 生成本地非对称密钥对

1.4 导入本地非对称密钥对

1.5 将本地非对称密钥中的主机公钥分发到远端主机

1.5.1 功能简介

1.5.2 导出本地非对称密钥对中的主机公钥

1.5.3 显示本地非对称密钥对中的公钥信息

1.6 配置远端主机的公钥

1.6.1 功能简介

1.6.2 配置限制和指导

1.6.3 导入远端主机的公钥

1.6.4 手工配置远端主机的公钥

1.7 销毁本地非对称密钥对

1.8 公钥管理显示和维护

1.9 公钥管理典型配置举例

1.9.1 手工配置远端主机公钥配置举例

1.9.2 从公钥文件中导入远端主机公钥配置举例

 

1 公钥管理

1.1  简介

公钥管理用于非对称密钥算法的密钥管理与发布。

1.1.1  非对称密钥算法原理

非对称密钥算法是数据加解密的一种方法，用来保证数据在网络中安全传输、不被攻击者非法窃听和恶意篡改。如图1-1所示，在非对称密钥算法中，加密和解密使用的密钥一个是对外公开的公钥，一个是由用户秘密保存的私钥，从公钥很难推算出私钥。公钥和私钥一一对应，二者统称为非对称密钥对。通过公钥（或私钥）加密后的数据只能利用对应的私钥（或公钥）进行解密。对称密钥算法中，加密和解密使用相同的密钥。

图1-1 加密和解密转换关系示意图

 

非对称密钥算法包括RSA（Rivest Shamir and Adleman）、DSA（Digital Signature Algorithm，数字签名算法）、ECDSA（Elliptic Curve Digital Signature Algorithm，椭圆曲线数字签名算法）和SM2算法等。

1.1.2  非对称密钥算法作用

非对称密钥算法主要有两个用途：

·     对发送的数据进行加/解密：发送者利用接收者的公钥对数据进行加密，只有拥有对应私钥的接收者才能使用该私钥对数据进行解密，从而可以保证数据的机密性。目前，只有RSA算法可以用来对发送的数据进行加/解密。

·     对数据发送者的身份进行认证：非对称密钥算法的这种应用，称为数字签名。发送者利用自己的私钥对数据进行加密，接收者利用发送者的公钥对数据进行解密，从而实现对数据发送者身份的验证。由于只能利用对应的公钥对通过私钥加密后的数据进行解密，因此根据解密是否成功，就可以判断发送者的身份是否合法，如同发送者对数据进行了“签名”。目前，RSA、DSA、ECDSA和SM2都可以用于数字签名。

非对称密钥算法应用十分广泛，例如SSH（Secure Shell，安全外壳）、SSL（Secure Sockets Layer，安全套接字层）、PKI（Public Key Infrastructure，公钥基础设施）中都利用了非对称密钥算法进行数字签名。非对称密钥算法只有与具体的应用（如SSH、SSL）配合使用，才能实现利用非对称密钥算法进行加/解密或数字签名。SSH、SSL和PKI的介绍，请参见“安全配置指导”中的“SSH”、“SSL”和“PKI”。

1.2  公钥管理配置任务简介

公钥管理配置任务如下：

(1)     生成本地非对称密钥对

(2)     导入本地非对称密钥对

(3)     将本地非对称密钥中的主机公钥分发到远端主机

请选择以下一项进行配置：

¡     导出本地非对称密钥对中的主机公钥

¡     显示本地非对称密钥对中的公钥信息

为了实现远端主机对本地设备的身份验证，用户需要将本地的主机公钥保存到远端主机上。

(4)     配置远端主机的公钥

请选择以下一项进行配置：

¡     导入远端主机的公钥

¡     手工配置远端主机的公钥

为了实现本地设备对远端主机的身份验证，用户需要在本地设备上配置远端主机公钥。

(5)     （可选）销毁本地非对称密钥对

1.3  生成本地非对称密钥对

1. 配置限制和指导

创建RSA和DSA密钥对时，设备会提示用户输入密钥模数的长度。密钥模数越长，安全性越好，但是生成密钥的时间越长。创建ECDSA密钥对时，可使用不同密钥长度的椭圆曲线，密钥越长，安全性越好，但是生成密钥的时间越长。创建SM2密钥对时，使用固定密钥长度的椭圆曲线。关于密钥模数长度或密钥长度的配置限制和注意事项请参见表1-1。

生成密钥对时，如果不指定密钥对名称，系统会以缺省名称命名密钥对，并把该密钥对标记为默认（default）。

用户可以使用缺省的密钥对名称创建其他密钥对，但系统不会把该密钥对标记为默认（default）。

非默认名称密钥对的密钥类型和名称不能完全相同，否则需要用户确认是否覆盖原有的密钥对。不同类型的密钥对，名称可以相同。

执行public-key local create命令后，生成的密钥对将保存在设备中，设备重启后密钥不会丢失。

表1-1 不同类型密钥对对比

密钥对类型	生成的密钥对	密钥模数长度
RSA	·     不指定密钥对名称时，将同时生成两个密钥对服务器密钥对和主机密钥对 ·     指定密钥对名称时，只生成一个主机密钥对 目前，只有SSH1.5中应用了RSA服务器密钥对	长度取值范围为512～2048比特，缺省值为1024比特，建议密钥模数的长度大于或等于768比特
DSA	只生成一个主机密钥对	长度取值范围为512～2048比特，缺省值为1024比特，建议密钥模数的长度大于或等于768比特
ECDSA	只生成一个主机密钥对	长度取值为192、256、384或521比特
SM2	只生成一个主机密钥对	长度取值为256比特

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     生成本地非对称密钥对。

public-key local create { dsa | ecdsa [ secp192r1 | secp256r1 | secp384r1 | secp521r1 ] | rsa } [ name key-name ]

public-key local create sm2 [ name key-name ] [ on device-name ]

1.4  导入本地非对称密钥对

1. 功能简介

在某些情况下，设备需要从其它设备上导入密钥对。如果待导入的密钥对包含在证书中，只需要导入证书便能将密钥对一并导入设备；如果待导入的证书和密钥对是分开的两个文件，设备无法通过导入证书的方式来导入密钥对，此时需要将密钥对文件通过FTP等方式上传到本地设备中，再通过public-key local import命令导入密钥对。

导入的密钥对将保存在设备中，设备重启后密钥不会丢失。

2. 配置限制和指导

当导入的密钥对类型为RSA时，设备只支持导入RSA主机密钥对，不支持导入RSA服务器密钥对。

设置密钥对名称时请注意：

·     导入密钥对时，如果不指定密钥对名称，系统会以缺省名称命名密钥对，并把该密钥对标记为默认（default）。

·     导入密钥对时，用户可以输入缺省的密钥对名称，但系统不会把该密钥对标记为默认（default）。

·     非默认名称密钥对的密钥类型和名称不能完全相同，否则需要确认是否覆盖原有的密钥对。不同类型的密钥对，名称可以相同。

如果导入的密钥对是加密后的密钥对，需要提供解密密码才能成功导入。

设备支持导入的密钥长度范围请参见表1-2。

表1-2 设备支持导入的密钥对长度

密钥对类型	密钥模数长度/密钥长度
RSA	长度取值范围为512～2048比特
ECDSA	长度取值为192、256、384或521比特

 

3. 配置准备

执行本命令前，请先将密钥对文件保存到设备本地的存储路径下。

4. 配置步骤

(1)     进入系统视图。

system-view

(2)     导入本地非对称密钥对。

public-key local import { ecdsa | rsa } [ key-name ] filename filename

1.5  将本地非对称密钥中的主机公钥分发到远端主机

1.5.1  功能简介

在某些应用（如SSH）中，为了实现远端主机采用数字签名方法对本地设备进行身份验证，用户需要将本地的主机公钥保存到远端主机上。

将本地的主机公钥保存到远端主机上，有以下三种方法：

·     在本地设备上执行public-key local export命令按照指定格式将本地主机公钥导出到指定文件（执行命令时指定filename参数），并将该文件上传到远端主机上。在远端主机上，通过从公钥文件中导入的方式将本地的主机公钥保存到远端设备上。

·     在本地设备上执行public-key local export命令按照指定格式将本地主机公钥导出到用户界面（执行命令时不指定filename参数），通过拷贝粘贴等方式将用户界面上的主机公钥保存到文件中，并将该文件上传到远端主机上。在远端主机上，通过从公钥文件中导入的方式将本地的主机公钥保存到远端设备上。

·     在本地设备上执行display public-key local public命令显示非对称密钥对中的公钥信息，并记录主机公钥数据。在远端主机上，通过手工配置的方式将记录的本地主机公钥保存到远端设备上。

1.5.2  导出本地非对称密钥对中的主机公钥

(1)     进入系统视图。

system-view

(2)     导出本地非对称密钥对中的主机公钥。

¡     按照指定格式将本地RSA主机公钥导出到指定文件或用户界面。

public-key local export rsa [ name key-name ] { openssh | ssh1 | ssh2 } [ filename ]

¡     按照指定格式将本地ECDSA主机公钥导出到指定文件或用户界面。

public-key local export ecdsa [ name key-name ] { openssh | ssh2 } [ filename ]

¡     按照指定格式将本地DSA主机公钥导出到指定文件或用户界面。

public-key local export dsa [ name key-name ] { openssh | ssh2 } [ filename ]

¡     按照指定格式将本地SM2主机公钥导出到指定文件或用户界面。

public-key local export sm2 [ name key-name ] { openssh | ssh2 } [ filename ]

1.5.3  显示本地非对称密钥对中的公钥信息

请在任意视图下执行以下命令。

·     显示本地RSA密钥对中的公钥信息。

display public-key local rsa public [ name key-name ]

若执行本命令时，同时显示了RSA服务器密钥对和主机密钥对的公钥信息，用户只需记录主机密钥对的公钥信息。

·     显示本地ECDSA密钥对中的公钥信息。

display public-key local ecdsa public [ name key-name ]

·     显示本地DSA密钥对中的公钥信息。

display public-key local dsa public [ name key-name ]

·     显示本地SM2密钥对中的公钥信息。

display public-key local sm2 public [ name key-name ]

1.6  配置远端主机的公钥

1.6.1  功能简介

在某些应用（如SSH）中，为了实现本地设备对远端主机的身份验证，需要在本地设备上配置远端主机的RSA、ECDSA、DSA主机公钥。用户可以使用以下方法配置远端主机公钥：

·     导入远端主机公钥。

·     手工配置远端主机公钥。

远端主机公钥信息的获取方法，请参见“1.5  将本地非对称密钥中的主机公钥分发到远端主机”。

1.6.2  配置限制和指导

从公钥文件中导入远端主机的公钥时，需要符合以下要求：

·     设备支持导入的公钥文件的格式为.pem、.cer、.crt、.der和.key格式。

·     公钥文件中公钥数据的长度不能超过2048比特，否则导入失败。

手工配置远端主机的公钥时，输入的主机公钥必须满足一定的格式要求。通过display public-key local public命令显示的公钥可以作为输入的公钥内容；通过其他方式（如public-key local export命令）显示的公钥可能不满足格式要求，导致主机公钥保存失败。因此，建议选用从公钥文件导入的方式配置远端主机的公钥。

1.6.3  导入远端主机的公钥

1. 功能简介

用户事先将远端主机的公钥文件保存到本地设备（例如，通过FTP或TFTP，以二进制方式将远端主机的公钥文件保存到本地设备），本地设备从该公钥文件中导入远端主机的公钥。导入公钥时，系统会自动将远端主机的公钥文件转换为PKCS（Public Key Cryptography Standards，公共密钥加密标准）编码形式。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     从公钥文件中导入远端主机的公钥。

public-key peer keyname import sshkey filename

1.6.4  手工配置远端主机的公钥

1. 功能简介

用户事先在远端主机上通过display public-key local public命令查看其公钥信息，并记录远端主机公钥的内容。在本地设备上采用手工输入的方式将远端主机的公钥配置到本地。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     指定远端主机公钥的名称，并进入公钥视图。

public-key peer keyname

(3)     手工输入远端主机的公钥。

逐个字符输入或拷贝粘贴公钥内容。

在输入公钥内容时，字符之间可以有空格，也可以按回车键继续输入数据。保存公钥数据时，将删除空格和回车符。

(4)     退出公钥视图时，保存配置的主机公钥。

peer-public-key end

1.7  销毁本地非对称密钥对

1. 功能简介

在如下几种情况下，建议用户销毁旧的非对称密钥对，并生成新的密钥对：

·     本地设备的私钥泄露。这种情况下，非法用户可能会冒充本地设备访问网络。

·     保存密钥对的存储设备出现故障，导致设备上没有公钥对应的私钥，无法再利用旧的非对称密钥对进行加/解密和数字签名。

·     本地证书到达有效期，需要删除对应的本地密钥对。本地证书的详细介绍，请参见“安全配置指导”中的“PKI”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     销毁本地非对称密钥对。

public-key local destroy { dsa | ecdsa | rsa | sm2 } [ name key-name ]

1.8  公钥管理显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后公钥管理的信息，通过查看显示信息验证配置的效果。

表1-3 公钥管理显示和维护

操作	命令
显示本地非对称密钥对中的公钥信息	display public-key local { dsa | ecdsa | rsa | sm2 } public [ name key-name ]
显示保存在本地的远端主机的公钥信息	display public-key peer [ brief | name publickey-name ]

 

1.9  公钥管理典型配置举例

1.9.1  手工配置远端主机公钥配置举例

1. 组网需求

如图1-2所示，为了防止非法用户访问，Device B（本地设备）采用数字签名方法对访问它的Device A（远端设备）进行身份验证。进行身份验证前，需要在Device B上配置Device A的公钥。

本例中要求：

·     Device A采用的非对称密钥算法为RSA算法。

·     采用手工配置方式在Device B上配置Device A的主机公钥。

2. 组网图

图1-2 手工配置远端主机公钥配置组网图

 

3. 配置步骤

(1)     配置Device A

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

# 在Device A上生成默认名称的本地RSA非对称密钥对，密钥模数的长度采用缺省值1024比特。

[DeviceA] public-key local create rsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.

Create the key pair successfully.

# 显示生成的本地RSA密钥对的公钥信息。

[DeviceA] display public-key local rsa public

 

=============================================

Key name: hostkey(default)

Key type: RSA

Time when key pair created: 10:28:00 2017/05/19

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100C305DA3BD5EDB06D

   9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC71E9A14220C38FE9EF2313E1FF6

   2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB568DD5CFCDE4CDC892FDED1BC861

   91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2D8E45BE87A7DAFE94204DAB702

   4A6E137BE307C5ACB70203010001

 

=============================================

Key name: serverkey(default)

Key type: RSA

Time when key pair created: 10:28:00 2017/05/19

Key code:

 

   307C300D06092A864886F70D0101010500036B003068026100CBF917CB6C6CFD28B92BC07E

   621326E3079464B31BB18D3D3AC866D48812CE14DBFC9EFC347A7E96D3714B7CF918A1751C

   681E5A3DBE79961E26829009308CAA3E920824BFE5B8907CCA073405CEDC5681B6AF82B7F9

   593FF85DF70D607B13430203010001

(2)     配置Device B

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0

[DeviceB-GigabitEthernet1/0/1] quit

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[DeviceB] security-zone name Untrust

[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1

[DeviceB-security-zone-Untrust] quit

# 配置安全策略放行Untrust与Local安全域之间的流量，使得Device A可以向Device B发送报文

[DeviceB-security-policy-ip] rule name pkeylocalin

[DeviceB-security-policy-ip-1-pkeylocalin] source-zone untrust

[DeviceB-security-policy-ip-1-pkeylocalin] destination-zone local

[DeviceB-security-policy-ip-1-pkeylocalin] source-ip-host 10.1.1.1

[DeviceB-security-policy-ip-1-pkeylocalin] destination-ip-host 10.2.2.2

[DeviceB-security-policy-ip-1-pkeylocalin] action pass

[DeviceB-security-policy-ip-1-pkeylocalin] quit

[DeviceB-security-policy-ip] quit

# 在Device B上配置Device A的主机公钥：在公钥视图输入Device A的主机公钥，即在Device A上通过display public-key local rsa public命令显示的主机公钥hostkey内容。

<DeviceB> system-view

[DeviceB] public-key peer devicea

Enter public key view. Return to system view with "peer-public-key end" command.

[DeviceB-pkey-public-key-devicea] 30819F300D06092A864886F70D010101050003818D003081890

2818100C305DA3BD5EDB06D

[DeviceB-pkey-public-key-devicea] 9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC7

1E9A14220C38FE9EF2313E1FF6

[DeviceB-pkey-public-key-devicea] 2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB56

8DD5CFCDE4CDC892FDED1BC861

[DeviceB-pkey-public-key-devicea] 91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2

D8E45BE87A7DAFE94204DAB702

[DeviceB-pkey-public-key-devicea] 4A6E137BE307C5ACB70203010001

# 从公钥视图退回到系统视图，并保存用户输入的公钥。

[DeviceB-pkey-public-key-devicea] peer-public-key end

4. 验证配置

# 显示Device B上保存的Device A的主机公钥信息。

[DeviceB] display public-key peer name devicea

 

=============================================

Key name: devicea

Key type: RSA

Key modulus: 1024

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100C305DA3BD5EDB06D

   9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC71E9A14220C38FE9EF2313E1FF6

   2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB568DD5CFCDE4CDC892FDED1BC861

   91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2D8E45BE87A7DAFE94204DAB702

   4A6E137BE307C5ACB70203010001

通过对比可以看出，Device B上保存的Device A的主机公钥信息与Device A实际的主机公钥信息一致。

1.9.2  从公钥文件中导入远端主机公钥配置举例

1. 组网需求

如图1-3所示，为了防止非法用户访问，Device B（本地设备）采用数字签名方法对访问它的Device A（远端设备）进行身份验证。进行身份验证前，需要在Device B上配置Device A的公钥。

本例中要求：

·     Device A采用的非对称密钥算法为RSA算法。

·     采用从公钥文件中导入的方式在Device B上配置Device A的主机公钥。

2. 组网图

图1-3 从公钥文件中导入远端主机公钥配置组网图

 

3. 配置步骤

(1)     配置Device A

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

(2)     配置Device B

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0

[DeviceB-GigabitEthernet1/0/1] quit

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[DeviceB] security-zone name Untrust

[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1

[DeviceB-security-zone-Untrust] quit

# 配置安全策略放行Untrust与Local安全域之间的流量，使得Device A可以向Device B发送报文

[DeviceB-security-policy-ip] rule name pkeylocalin

[DeviceB-security-policy-ip-1-pkeylocalin] source-zone untrust

[DeviceB-security-policy-ip-1-pkeylocalin] destination-zone local

[DeviceB-security-policy-ip-1-pkeylocalin] source-ip-host 10.1.1.1

[DeviceB-security-policy-ip-1-pkeylocalin] destination-ip-host 10.2.2.2

[DeviceB-security-policy-ip-1-pkeylocalin] action pass

[DeviceB-security-policy-ip-1-pkeylocalin] quit

[DeviceB-security-policy-ip] quit

(3)     在Device A上生成密钥对，并导出公钥

# 在Device A上生成默认名称的本地RSA非对称密钥对，密钥模数的长度采用缺省值1024比特。

<DeviceA> system-view

[DeviceA] public-key local create rsa

The range of public key modulus is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.

Create the key pair successfully.

# 显示生成的本地RSA密钥对的公钥信息。

[DeviceA] display public-key local rsa public

 

=============================================

Key name: hostkey(default)

Key type: RSA

Time when key pair created: 10:58:47 2017/05/19

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100D584D31764E92A97

   11B6AE429BDF8A3C70D019D79D6F9905789E1020E5904121FB76261C48227451FE14B754EE

   1C0CBFCD96021B55D4E439F1377DBBE466323F7559ED7BC3BC94F7CA16362A9E0FB010567A

   F202B45906B71F90F75A09D72BA16EFB3F44D7B3AE90D450C4C72F478F57935FE4E8F6BFE1

   C2F404E7E8C13174790203010001

 

=============================================

Key name: serverkey(default)

Key type: RSA

Time when key pair created: 10:58:47 2017/05/19

Key code:

 

   307C300D06092A864886F70D0101010500036B003068026100BD8BED0D9EC4C8435B074FF4

   0EDE756A7DE9276638184DF53A7AB072EC75025C22F65B68C16B04278E158078B44445E8F7

   73BD4182616EB5F23089D214FE5A5E246B4C54C2B23491A690AA69C30CCE5E8705D8BFFDED

   C90292074A836A86BB8D0203010001

# 将生成的默认名称的RSA主机公钥导出到指定文件devicea.pub中。

[DeviceA] public-key local export rsa ssh2 devicea.pub

(4)     在Device A上启动FTP服务器功能

# 启动FTP服务器功能，创建FTP用户（用户名为ftp，密码为123），并配置FTP用户的用户角色为network-admin。

[DeviceA] ftp server enable

[DeviceA] local-user ftp

[DeviceA-luser-manage-ftp] password simple 123

[DeviceA-luser-manage-ftp] service-type ftp

[DeviceA-luser-manage-ftp] authorization-attribute user-role network-admin

[DeviceA-luser-manage-ftp] quit

(5)     Device B获取Device A的公钥文件

# Device B通过FTP以二进制方式从Device A获取公钥文件devicea.pub。

<DeviceB> ftp 10.1.1.1

Connected to 10.1.1.1 (10.1.1.1).

220 FTP service ready.

User (10.1.1.1:(none)): ftp

331 Password required for ftp.

Password:

230 User logged in.

Remote system type is UNIX.

Using binary mode to transfer files.

ftp> binary

200 TYPE is now 8-bit binary

ftp> get devicea.pub

227 Entering Passive Mode (10,1,1,1,118,252)

150 Accepted data connection

226 File successfully transferred

301 bytes received in 0.022 seconds (13.45 Kbytes/s)

ftp> quit

221-Goodbye. You uploaded 0 and downloaded 1 kbytes.

221 Logout.

(6)     Device B从公钥文件中导入公钥

# Device B从公钥文件中导入Device A的主机公钥。

<DeviceB> system-view

[DeviceB] public-key peer devicea import sshkey devicea.pub

4. 验证配置

# 显示Device B上保存的Device A的主机公钥信息。

[DeviceB] display public-key peer name devicea

 

=============================================

Key name: devicea

Key type: RSA

Key modulus: 1024

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100D584D31764E92A97

   11B6AE429BDF8A3C70D019D79D6F9905789E1020E5904121FB76261C48227451FE14B754EE

   1C0CBFCD96021B55D4E439F1377DBBE466323F7559ED7BC3BC94F7CA16362A9E0FB010567A

   F202B45906B71F90F75A09D72BA16EFB3F44D7B3AE90D450C4C72F478F57935FE4E8F6BFE1

   C2F404E7E8C13174790203010001

通过对比可以看出，Device B上保存的Device A的主机公钥信息与Device A实际的主机公钥信息一致。