· 服务器在采用publickey方式验证客户端身份时，首先要比较客户端发送的Stelnet用户名、主机公钥是否与本地配置的SSH用户名以及相应的客户端主机公钥一致，在确认用户名和客户端主机公钥正确后，再利用数字签名对客户端进行验证，而该签名是客户端利用主机公钥对应的私钥计算出的。因此，需要在服务器端配置客户端的RSA主机公钥，并在客户端为该SSH用户指定与主机公钥对应的RSA主机私钥。

· 如果SSH服务器采用publickey方式认证客户端，必须在服务器上创建相应的SSH用户，以及同名的本地用户（用于下发授权属性：工作目录、用户角色）。

· Stelnet客户端通过VTY用户线访问设备。因此，需要配置登录用户线的认证方式为scheme方式。

· 为了使Stelnet用户登录设备后要能正常使用所有命令，将用户的用户角色设置为network-admin，缺省情况下本地用户的用户角色为network-operator。

4.4 配置注意事项

虽然一个客户端只会采用RSA、DSA公钥算法中的一种来认证服务器，但是由于不同客户端支持的公钥算法不同，为了确保客户端能够成功登录服务器，请在服务器上同时生成RSA、DS密钥对。

4.5 配置步骤

4.5.1 配置Host作为Stelnet客户端

客户端软件有很多，例如PuTTY、OpenSSH等。本文中仅以客户端软件PuTTY0.60为例，说明Stelnet客户端的配置方法。

# 在客户端运行PuTTYGen.exe，在参数栏中选择“SSH-2 RSA”，点击<Generate>，产生客户端密钥对。

图4-2 生成客户端密钥（1）

# 在产生密钥对的过程中需不停地移动鼠标，鼠标移动仅限于图4-3蓝色框中除绿色标记进程条外的地方，否则进程条会停止显示，密钥对将停止产生。

图4-3 生成客户端密钥（2）

# 密钥对产生后，点击<Save public key>，输入存储公钥的文件名key.pub，点击<保存>按钮将公钥文件保存在D盘。

图4-4 生成客户端密钥（3）

# 点击<Save private key>存储私钥，选择保存的路径（例如D:\），并输入私钥文件名为private.ppk，点击保存。

4.5.2 配置Device作为FTP服务器

# 配置接口GigabitEthernet0/0/1的IP地址。

<Device> system-view

[Device] interface GigabitEthernet 0/0/1

[Device-GigabitEthernet0/0/1] ip address 192.168.1.40 255.255.255.0

[Device-GigabitEthernet0/0/1] quit

# 在Device上创建一个ftp类型的本地用户，并设置密码为明文123456TESTplat&!，服务类型为FTP，用户角色为network-admin，工作目录为flash:/。

[Device] local-user ftp class manage

New local user added.

[Device-luser-manage-ftp] password simple 123456TESTplat&!

[Device-luser-manage-ftp] authorization-attribute user-role network-admin

[Device-luser-manage-ftp] authorization-attribute work-directory flash:/

[Device-luser-manage-ftp] service-type ftp

[Device-luser-manage-ftp] quit

# 开启Device 的FTP服务器功能。

[Device] ftp server enable

[Device] quit

4.5.3 配置FTP客户端上传公钥文件

# Host通过FTP登录并上传公钥文件key.pub到Device。

<DeviceA>ftp 192.168.1.40

Press CTRL+C to abort.

Connected to 192.168.1.40 (192.168.1.40).

220 FTP service ready.

User (192.168.1.56:(none)): ftp

331 Password required for ftp.

Password:

230 User logged in.

Remote system type is UNIX.

Using binary mode to transfer files.

ftp> put flash:/key.pub

227 Entering Passive Mode (192,168,1,40,41,116)

150 Accepted data connection

226 File successfully transferred

301 bytes sent in 0.000 seconds (1.05 Mbytes/s)

ftp> quit

221-Goodbye. You uploaded 1 and downloaded 0 kbytes.

221 Logout.

4.5.4 配置Device作为Stelnet服务器

# 生成RSA密钥对。

[Device] public-key local create rsa

The range of public key size is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

........................++++++

...................++++++

..++++++++

............++++++++

Create the key pair successfully.

# 生成DSA密钥对。

[Device] public-key local create dsa

The range of public key size is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.++++++++++++++++++++++++++++++++++++++++++++++++++*

........+......+.....+......................................+

...+.................+..........+...+

Create the key pair successfully.

# 使能SSH服务器功能。

[Device] ssh server enable

# 设置Stelnet客户端登录用户界面的认证方式为scheme。

[Device] line vty 0 63

[Device-line-vty0-63] authentication-mode scheme

[Device-line-vty0-63] quit

# 从文件key.pub中导入客户端的公钥，并命名为devicekey。

[Device] public-key peer devicekey import sshkey key.pub

# 设置SSH用户client001的认证方式为publickey，并指定公钥为devicekey。

[Device] ssh user client001 service-type stelnet authentication-type publickey assign publickey devicekey

# 创建本地用户client001，并设置服务类型为SSH，用户角色为network-admin。

[Device] local-user client001 class manage

New local user added.

[Device-luser-manage-client001] service-type ssh

[Device-luser-manage-client001] authorization-attribute user-role network-admin

[Device-luser-manage-client001] quit

4.6 验证配置

# 客户端打开PuTTY.exe程序，点击“Session”功能区，出现如图4-5所示的客户端配置界面。

· 在“Host Name（or IP address）”文本框中输入Stelnet服务器的IP地址为192.168.1.40。

· 在“Port”文本框中输入SSH协议端口号22。

· 在“Connection type”区域选择SSH协议。

图4-5 Stelnet客户端配置界面（1）

# 单击左侧导航栏“Connection->SSH”，出现如图4-6的界面。选择“Preferred SSH protocol version”为“2”。

图4-6 Stelnet客户端配置界面（2）

# 单击左侧导航栏“Connection->SSH”下面的“Auth”（认证），出现如图4-7的界面。单击<Browse…>按钮，弹出文件选择窗口。选择与配置到服务器端的公钥对应的私钥文件private.ppk。

图4-7 Stelnet客户端配置界面（3）

# 单击<Open>按钮。弹出“PuTTY Security Alert”对话框。

图4-8 Stelnet客户端登录界面（一）

# 单击“是（Y）”按钮，按提示输入用户名client001，即可进入Device的配置界面，用户角色为network-admin。

Authenticating with public key ”rsa-key-20140726”

******************************************************************************

* Without the owner's prior written consent, *

* no decompiling or reverse-engineering shall be allowed. *

******************************************************************************

4.7 配置文件

interface GigabitEthernet0/0/1

port link-mode route

ip address 192.168.1.40 255.255.255.0

line vty 0 63

authentication-mode scheme

ssh server enable

ssh user client001 service-type stelnet authentication-type publickey assign publickey devicekey

local-user client001 class manage

service-type ssh

authorization-attribute user-role network-admin

authorization-attribute user-role network-operator

public-key peer Devicekey

public-key-code begin

30819D300D06092A864886F70D010101050003818B0030818702818100A2DBC1FD76A837BEF5D322598442D6753B2E8F7ADD6D6209C80843B206B309078AFE2416CB4FAD496A6627243EAD766D57AEA70B901B4B4566D9A651B133BAE34E9B9F04E542D64D0E9814D7E3CBCDBCAF28FF21EE4EADAE6DF52001944A40414DFF280FF043B14838288BE7F9438DC71ABBC2C28BF78F34ADF3D1C912579A19020125

public-key-code end

peer-public-key end

local-user ftp class manage

password hash $h$6$+FXK57WITNbLKNHo$XBf9pbuiwQh+PXhdeVNYSEgdUT+0dWuIlWh+9NGV30ujhdR9kzdrBFEAMDXIEPgag6i5ebdo8yRKhf+gTgsOsw==

service-type ftp

authorization-attribute work-directory flash:/

authorization-attribute user-role network-admin

authorization-attribute user-role network-operator

ftp server enable

5 设备作为Stelnet客户端配置举例（password认证）

5.1 组网需求

如图5-1所示，Device A作为Stelnet客户端，采用SSH协议远程登录到Device B上。要求：

· Device B采用本地认证的方式认证用户，Stelnet服务器采用的认证方式为password认证。

· 登录用户名为client001，密码为123456TESTplat&!，用户登录设备后可以正常使用所有命令。

· 为提高安全性，需要以Stelnet客户端保存的主机公钥来验证Stelnet服务器，Stelnet客户端只信任通过验证的Stelnet服务器并继续访问该服务器。

图5-1 设备作为Stelnet客户端配置组网图

5.2 配置思路

· 为了使SSH的版本协商和算法协商过程正常运行，且为了保证客户端对连接的服务器的认证正常进行，请在服务器端生成RSA、DSA密钥对。

· Stelnet客户端通过VTY用户线访问设备。因此，需要配置登录用户线的认证方式为scheme方式。

· 为了采用本地认证的方式认证用户，需要在Stelnet服务器上创建相应的本地用户，并在本地用户视图下配置密码。

· 为了使Stelnet用户登录设备后能正常使用所有命令，将用户的用户角色设置为network-admin，缺省情况下本地用户的用户角色为network-operator。

· 因为需要以Stelnet客户端保存的主机公钥来验证Stelnet服务器，所以需要先将Stelnet服务器主机公钥配置在Stelnet客户端上。

5.3 使用版本

本举例是在MSR2630E-X1设备的R9119P16版本上进行配置和验证的。

5.4 配置步骤

5.4.1 Stelnet服务器的配置

# 生成RSA密钥对。

<DeviceB> system-view

[DeviceB] public-key local create rsa

The range of public key size is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

........................++++++

...................++++++

..++++++++

............++++++++

Create the key pair successfully.

# 生成DSA密钥对。

[DeviceB] public-key local create dsa

The range of public key size is (512 ~ 2048).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.++++++++++++++++++++++++++++++++++++++++++++++++++*

........+......+.....+......................................+

...+.................+..........+...+

Create the key pair successfully.

# 使能SSH服务器功能。

[DeviceB] ssh server enable

# 配置接口GigabitEthernet0/0/1的IP地址，客户端将通过该地址连接Stelnet服务器。

[DeviceB] interface GigabitEthernet 0/0/1

[DeviceB-GigabitEthernet0/0/1] ip address 192.168.1.40 255.255.255.0

[DeviceB-GigabitEthernet0/0/1] quit

# 设置Stelnet客户端登录用户界面的认证方式为scheme。

[DeviceB] line vty 0 63

[DeviceB-line-vty0-63] authentication-mode scheme

[DeviceB-line-vty0-63] quit

# 创建本地用户client001，并设置密码为明文123456TESTplat&!，服务类型为SSH，用户角色为network-admin。

[DeviceB] local-user client001 class manage

New local user added.

[DeviceB-luser-manage-client001] password simple 123456TESTplat&!

[DeviceB-luser-manage-client001] service-type ssh

[DeviceB-luser-manage-client001] authorization-attribute user-role network-admin

[DeviceB-luser-manage-client001] quit

# 显示服务器端DSA公钥内容。

[DeviceB] display public-key local dsa public

=====================================================

Key name: dsakey(default)

Key type: DSA

Key length: 1024

Time when key pair created: 02:43:45 2021/01/07

Key code:

308201B73082012C06072A8648CE3804013082011F02818100D757262C4584C44C211F18BD

96E5F061C4F0A423F7FE6B6B85B34CEF72CE14A0D3A5222FE08CECE65BE6C265854889DC1E

DBD13EC8B274DA9F75BA26CCB987723602787E922BA84421F22C3C89CB9B06FD60FE01941D

DD77FE6B12893DA76EEBC1D128D97F0678D7722B5341C8506F358214B16A2FAC4B36895038

7811C7DA33021500C773218C737EC8EE993B4F2DED30F48EDACE915F0281810082269009E1

4EC474BAF2932E69D3B1F18517AD9594184CCDFCEAE96EC4D5EF93133E84B47093C52B20CD

35D02492B3959EC6499625BC4FA5082E22C5B374E16DD00132CE71B020217091AC717B6123

91C76C1FB2E88317C1BD8171D41ECB83E210C03CC9B32E810561C21621C73D6DAAC028F4B1

585DA7F42519718CC9B09EEF03818400028180077F06B3E343CAE9988F4BE3F76FACBAB565

AB73D4BA295C52BA92428B1F2DA1E6DD652413DD3AFE0C5A4FCF365100CBE34CECA55A2C30

A2A9FF7E899628557E39CE8FC615F53193A7E200B4B1CB21E3F1091D595716D229DDED6872

061F9B4B08301ADC81F7EC1501FFB863C0009536596CCB508596C3325892DC6D8C5C35B5

5.4.2 Stelnet客户端的配置

# 配置接口GigabitEthernet0/0/1的IP地址，客户端将通过该地址连接Stelnet服务器。

[DeviceA] interface GigabitEthernet 0/0/1

[DeviceA-GigabitEthernet0/0/1] ip address 192.168.1.56 255.255.255.0

[DeviceA-GigabitEthernet0/0/1] quit

# 指定服务器端的主机公钥名称为key1，并进入公钥视图。

[DeviceA] public-key peer key1

Enter public key view. Return to system view with "peer-public-key end" command.

# 在客户端配置服务器端的主机公钥(由于客户端缺省采用DSA主机公钥认证服务器，因此这里输入的是在在服务器端通过display public-key local dsa public命令显示公钥内容。)

[DeviceA-pkey-public-key-key1]308201B73082012C06072A8648CE3804013082011F02818100D757262C4584C44C211F18BD96E5F061C4F0A423F7FE6B6B85B34CEF72CE14A0D3A5222FE08CECE65BE6C265854889DC1EDBD13EC8B274DA9F75BA26CCB987723602787E922BA84421F22C3C89CB9B06FD60FE01941DDD77FE6B12893DA76EEBC1D128D97F0678D7722B5341C8506F358214B16A2FAC4B368950387811C7DA33021500C773218C737EC8EE993B4F2DED30F48EDACE915F0281810082269009E14EC474BAF2932E69D3B1F18517AD9594184CCDFCEAE96EC4D5EF93133E84B47093C52B20CD35D02492B3959EC6499625BC4FA5082E22C5B374E16DD00132CE71B020217091AC717B612391C76C1FB2E88317C1BD8171D41ECB83E210C03CC9B32E810561C21621C73D6DAAC028F4B1585DA7F42519718CC9B09EEF03818400028180077F06B3E343CAE9988F4BE3F76FACBAB565AB73D4BA295C52BA92428B1F2DA1E6DD652413DD3AFE0C5A4FCF365100CBE34CECA55A2C30A2A9FF7E899628557E39CE8FC615F53193A7E200B4B1CB21E3F1091D595716D229DDED6872061F9B4B08301ADC81F7EC1501FFB863C0009536596CCB508596C3325892DC6D8C5C35B5

# 退出公钥视图，并保存用户输入的公钥。

[DeviceA-pkey-public-key-key1] peer-public-key end

[DeviceA] return

5.5 验证配置

# 建立到服务器192.168.1.40的SSH连接，并指定服务器端的主机公钥key1。输入正确的用户名和密码之后，即可成功登录到Device B上，用户角色为network-admin。

<DeviceA> ssh2 192.168.1.40 publickey key1

[email protected]'s password:

******************************************************************************

* Without the owner's prior written consent, *

* no decompiling or reverse-engineering shall be allowed. *

******************************************************************************

5.6 配置文件

· DeviceA

interface GigabitEthernet0/0/1

port link-mode route

ip address 192.168.1.56 255.255.255.0

public-key peer key1