目  录

第1章 SSH配置

1.1 SSH简介

1.1.1 算法和密钥

1.1.2 非对称密钥算法

1.1.3 SSH工作过程

1.2 配置设备作为SSH服务器

1.2.1 SSH服务器配置任务简介

1.2.2 使能SSH服务器功能

1.2.3 配置SSH客户端登录时的用户界面

1.2.4 配置RSA和DSA密钥

1.2.5 配置客户端的公钥

1.2.6 配置SSH用户

1.2.7 配置服务器上的SSH管理功能

1.3 配置设备作为SSH客户端

1.3.1 SSH客户端配置任务简介

1.3.2 为SSH客户端指定源IP地址或源接口

1.3.3 配置SSH客户端是否支持首次认证

1.3.4 建立SSH客户端和服务器端的连接

1.4 SSH协议显示和维护

1.5 设备作为SSH服务器配置举例

1.5.1 password认证配置举例

1.5.2 publickey认证配置举例

1.6 设备作为SSH客户端配置举例

1.6.1 password认证配置举例

1.6.2 publickey认证配置举例

第2章 SFTP服务

2.1 SFTP简介

2.2 配置SFTP服务器

2.2.1 配置准备

2.2.2 启动SFTP服务器

2.2.3 配置SFTP用户连接的空闲超时时间

2.3 配置SFTP客户端

2.3.1 为SFTP客户端指定源IP地址或源接口

2.3.2 建立与SFTP服务器的连接

2.3.3 SFTP目录操作

2.3.4 SFTP文件操作

2.3.5 显示帮助信息

2.3.6 终止与远程SFTP服务器的连接

2.4 SFTP配置举例

 

第1章  SSH配置

1.1  SSH简介

SSH是Secure Shell（安全外壳）的简称。用户通过一个不能保证安全的网络环境远程登录到设备时，SSH可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。

设备支持SSH服务器功能，可以接受多个SSH客户端的连接。同时，设备还支持SSH客户端功能，允许用户与支持SSH服务器功能的设备建立SSH连接，从而实现从本地设备通过SSH登录到远程设备上。

  注意：

l      目前，设备作为SSH服务器时，支持SSH2和SSH1两个版本；设备作为SSH客户端时，只支持SSH2版本。

l      如无特殊说明，文中的SSH均指SSH2。

 

1.1.1  算法和密钥

加密和解密过程中使用的一组变换规则称为算法。将未加密的信息称为明文，加密后的信息称为密文。加密和解密都是在密钥的控制下进行的。密钥是一组特定的字符串，是控制明文和密文变换的唯一参数，起到“钥匙”的作用。通过加密变换操作，可以将明文变换为密文，或者通过解密变换操作，将密文恢复为明文。如图1-1所示。

图1-1 加密和解密变换关系

基于密钥的算法通常有两类：对称算法和非对称密钥算法。

1.1.2  非对称密钥算法

非对称密钥算法是指通信的每一端都存在一对密钥，即一个私钥，一个公钥。公钥是公开的，私钥只有合法者拥有，从公钥很难推出私钥。

非对称密钥算法可以用于加密，也就是用公钥对报文进行加密，然后由拥有私钥的合法者使用私钥对数据进行解密，这样保证数据的机密性。

非对称密钥算法还可以用于数字签名，比如用户1使用自己的私钥对数据进行签名，然后发给用户2，用户2可以用用户1的公钥验证签名，如果签名是正确的，那么就能够确认该数据来源于用户1。

RSA（Rivest Shamir and Adleman）和DSA（Digital Signature Algorithm，数字签名算法）都是非对称密钥算法，RSA既可以用于加密，又可以用于签名，而DSA只用于签名。

&  说明：

目前，SSH2支持RSA和DSA这两种非对称密钥算法。

 

1.1.3  SSH工作过程

在整个通讯过程中，为实现SSH的安全连接，服务器端与客户端要经历如下五个阶段：

表1-1 SSH服务器端与客户端建立连接的五个阶段

过程	说明	详细内容
版本号协商阶段	SSH目前包括SSH1和SSH2两个版本，双方通过版本协商确定使用的版本	1.1.3  1.
密钥和算法协商阶段	SSH支持多种加密算法，双方根据本端和对端支持的算法，协商出最终使用的算法	1.1.3  2.
认证阶段	SSH客户端向服务器端发起认证请求，服务器端对客户端进行认证	1.1.3  3.
会话请求阶段	认证通过后，客户端向服务器端发送会话请求	1.1.3  4.
交互会话阶段	会话请求通过后，服务器端和客户端进行信息的交互	1.1.3  5.

 

1. 版本号协商阶段

具体步骤如下：

l              服务器打开端口22，等待客户端连接。

l              客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为“SSH－<主协议版本号>.<次协议版本号>－<软件版本号>”，协议版本号由主版本号和次版本号组成，软件版本号主要是为调试使用。

l              客户端收到报文后，解析该数据包，如果服务器端的协议版本号比自己的低，且客户端能支持服务器端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号。

l              客户端回应服务器一个报文，包含了客户端决定使用的协议版本号。服务器比较客户端发来的版本号，决定是否能同客户端一起工作。

l              如果协商成功，则进入密钥和算法协商阶段，否则服务器端断开TCP连接。

&  说明：

上述报文都是采用明文方式传输的。

 

2. 密钥和算法协商阶段

具体步骤如下：

l              服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等。

l              服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法。

l              服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。

通过以上步骤，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。在认证阶段，两端会使用会话ID用于认证过程。

  注意：

在协商阶段之前，服务器端已经生成RSA和DSA密钥对，他们主要用于参与会话密钥的生成。

 

3. 认证阶段

具体步骤如下：

l              客户端向服务器端发送认证请求，认证请求中包含用户名、认证方法、与该认证方法相关的内容（如：password认证时，内容为密码）。

l              服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。

l              客户端从认证方法列表中选取一种认证方法再次进行认证。

l              该过程反复进行，直到认证成功或者认证次数达到上限，服务器关闭连接为止。

SSH提供两种认证方法：

l              password认证：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器；服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败的消息。

l              publickey认证：采用数字签名的方法来认证客户端。目前，设备上可以利用RSA和DSA两种公共密钥算法实现数字签名。客户端发送包含用户名、公共密钥和公共密钥算法的publickey认证请求给服务器端。服务器对公钥进行合法性检查，如果不合法，则直接发送失败消息；否则，服务器利用数字签名对客户端进行认证，并返回认证成功或失败的消息。

&  说明：

除了password认证和publickey认证，SSH还提供了password-publickey认证和any认证。

l      password-publickey认证：指定该用户的认证方式为password和publickey认证同时满足。客户端版本为SSH1的用户只要通过其中一种认证即可登录；客户端版本为SSH2的用户必须两种认证都通过才能登录。

l      any认证：指定该用户的认证方式可以是password，也可以是publickey，客户端首先尝试使用publickey方式登录。

 

4. 会话请求阶段

认证通过后，客户端向服务器发送会话请求。服务器等待并处理客户端的请求。在这个阶段，请求被成功处理后，服务器会向客户端回应SSH_SMSG_SUCCESS包，SSH进入交互会话阶段；否则回应SSH_SMSG_FAILURE包，表示服务器处理请求失败或者不能识别请求。

5. 交互会话阶段

会话请求成功后，连接进入交互会话阶段。在这个模式下，数据被双向传送。客户端将要执行的命令加密后传给服务器，服务器接收到报文，解密后执行该命令，将执行的结果加密发还给客户端，客户端将接收到的结果解密后显示到终端上。

&  说明：

l      在交互会话阶段，客户端可以通过粘贴文本会话的方式发送要执行的命令，但文本会话不能超过2000字节，且粘贴的命令最好是同一视图下的命令，否则服务器可能无法正确执行该命令。

l      如果粘贴的文本会话超过2000字节，可以采用将配置文件上传到服务器，利用新的配置文件重新启动的方式执行这些命令。

 

1.2  配置设备作为SSH服务器

1.2.1  SSH服务器配置任务简介

表1-2 SSH服务器配置任务简介

配置任务		说明	详细配置
使能SSH服务器功能		必选	1.2.2
配置SSH客户端登录时的用户界面		必选	1.2.3
配置RSA和DSA密钥	生成RSA或DSA密钥	必选	1.2.4  1.
	导出RSA或DSA密钥	可选	1.2.4  2.
	销毁RSA或DSA密钥	可选	1.2.4  3.
配置客户端的公钥		对于采用publickey认证的SSH用户为必选 对于采用password认证的SSH用户为可选	1.2.5
配置SSH用户		可选	1.2.6
配置服务器上的SSH管理功能		可选	1.2.7

 

&  说明：

虽然一个客户端只会采用RSA和DSA公共密钥算法中的一种来认证服务器，但是由于不同客户端支持的公共密钥算法不同，为了确保客户端能够成功登录服务器，建议在服务器上同时生成RSA和DSA密钥对。

 

1.2.2  使能SSH服务器功能

表1-3 使能SSH服务器功能

操作	命令	说明
进入系统视图	system-view	-
使能SSH服务器功能	ssh server enable	必选 缺省情况下，SSH服务器功能处于关闭状态

 

1.2.3  配置SSH客户端登录时的用户界面

SSH客户端通过VTY用户界面访问设备。因此，需要配置SSH客户端登录时采用的VTY用户界面，使其支持SSH远程登录协议。配置结果在下次登录请求时生效。

表1-4 配置SSH客户端登录时的用户界面所支持的协议

操作	命令	说明
进入系统视图	system-view	-
进入一个或多个VTY用户界面视图	user-interface vty number [ ending-number ]	必选
配置登录用户界面的认证方式为scheme方式	authentication-mode scheme [ command-authorization ]	必选 缺省情况下，用户界面认证为password方式
配置所在用户界面支持的协议	protocol inbound { all | ssh | telnet }	可选 缺省情况下，系统支持所有的协议，即支持Telnet和SSH

 

  注意：

l      authentication-mode命令和protocol inbound命令的详细介绍，请参见“登录以太网交换机命令”。

l      如果在该用户界面上配置支持的协议是SSH，为确保登录成功，请务必配置登录用户界面的认证方式为authentication-mode scheme（采用AAA认证）。

l      如果某用户界面已经配置成支持SSH协议，则在此用户界面上配置authentication-mode password和authentication-mode none将失败。

 

1.2.4  配置RSA和DSA密钥

1. 生成RSA或DSA密钥

生成服务器端的RSA或DSA密钥是完成SSH登录的必要操作。

表1-5 生成RSA或DSA密钥

操作	命令	说明
进入系统视图	system-view	-
生成本地RSA密钥对	public-key local create rsa	二者至少选择其一 缺省情况下，没有生成RSA和DSA密钥对
生成本地DSA密钥对	public-key local create dsa

 

  注意：

l      public-key local create rsa命令和public-key local create dsa命令只需执行一遍，设备重启后不必再次执行。

l      RSA服务器密钥和主机密钥的最小长度为512位，最大长度为2048位。在SSH2中，有的客户端要求服务器端生成的密钥长度必须大于或等于768位。

l      DSA主机密钥的最小长度为512位，最大长度为2048位。在SSH2中，有的客户端要求服务器端生成的密钥长度必须大于或等于768位。

 

2. 导出RSA或DSA密钥

对于已经生成的RSA或DSA密钥对，可以根据指定格式在屏幕上显示主机公钥或导出主机公钥到指定文件，从而为在远端配置RSA或DSA主机公钥作准备。

表1-6 导出RSA或DSA密钥

操作	命令	说明
进入系统视图	system-view	-
根据指定格式在屏幕上显示本地RSA主机公钥或导出本地RSA主机公钥到指定文件	public-key local export rsa { openssh | ssh1 | ssh2  } [ filename ]	二者至少选择其一
根据指定格式在屏幕上显示本地DSA主机公钥或导出本地DSA主机公钥到指定文件	public-key local export dsa { openssh | ssh2 } [ filename ]

 

3. 销毁RSA或DSA密钥

表1-7 销毁RSA或DSA密钥

操作	命令	说明
进入系统视图	system-view	-
销毁本地RSA密钥对	public-key local destroy rsa	二者至少选择其一
销毁本地DSA密钥对	public-key local destroy dsa

 

1.2.5  配置客户端的公钥

&  说明：

本配置适用于采用publickey认证的SSH用户，采用password认证的SSH用户，不必进行本配置。

 

SSH用户采用publickey认证方式时，需要在服务器端配置客户端的RSA或DSA主机公钥，并在客户端为该SSH用户指定与主机公钥对应的RSA或DSA私钥，以便当客户端登录服务器端时，对客户端进行验证。

可以通过手工配置和从公钥文件中导入两种方式来配置客户端的publickey公钥：

l              手工配置客户端的publickey公钥时，可以采用拷贝粘贴的方式将客户端的主机公钥配置到服务器端；

l              从公钥文件中导入客户端的publickey公钥时，系统会自动将客户端生成的公钥文件转换为PKCS（Public Key Cryptography Standards，公共密钥加密标准）编码形式，并实现客户端公钥的配置。这种方式需要客户端事先将publickey密钥的公钥文件通过FTP/TFTP以二进制（binary）方式上传到服务器端。

  注意：

l      设备作为SSH服务器时，无法通过Secure CRT 4.07将客户端公钥上传到服务器端。

l      SSH服务器上最多可以创建20个客户端的公钥。

 

表1-8 手工配置客户端的公钥

操作	命令	说明
进入系统视图	system-view	-
进入公共密钥视图	public-key peer keyname	-
进入公共密钥编辑视图	public-key-code begin	-
配置客户端的公钥	直接输入公钥内容	必选 在输入公钥内容时，字符之间可以有空格，也可以按回车键继续输入数据，所配置的公钥必须是按公钥格式编码的十六进制字符串
退回公共密钥视图	public-key-code end	- 退出视图时，系统自动保存配置的公钥密钥
退回系统视图	peer-public-key end	-

 

表1-9 从公钥文件中导入客户端的公钥

操作	命令	说明
进入系统视图	system-view	-
从公钥文件中导入SSH用户的公钥	public-key peer keyname import sshkey filename	必选

 

1.2.6  配置SSH用户

通过本配置，可以在创建SSH用户的同时，指定SSH用户的服务类型和认证方式。

表1-10 配置SSH用户

操作		命令	说明
进入系统视图		system-view	-
创建SSH用户，并指定SSH用户的服务类型和认证方式	SSH用户的服务类型为stelnet	ssh user username service-type stelnet authentication-type { password | { any | password-publickey | publickey } assign publickey keyname }	二者必选其一
	SSH用户的服务类型为all或sftp	ssh user username service-type { all | sftp } authentication-type { password | { any | password-publickey | publickey } assign publickey keyname work-directory directory-name }

 

  注意：

l      对于AAA用户，即使没有创建对应的SSH用户，只要能够通过AAA认证，则该用户仍然可以通过password认证方式，Stelnet或SFTP登录服务器。

l      SSH服务器上最多可以创建1024个SSH用户。

l      SSH用户具有两种服务类型：Stelnet和SFTP。Stelnet即Secure Telnet，是指传统的SSH服务，详细内容请参见“1.1  SSH简介”。SFTP即Secure FTP，详细内容请参见“2.1  SFTP简介”。

l      进行SFTP登录时，必须设置用户的服务类型为sftp或者all；不需要使用SFTP服务时，SSH用户的类型设置为stelnet或者all。

l      SSH1不支持服务类型sftp。如果客户端采用SSH1版本登录服务器，则必须在服务器上配置服务类型为stelnet或者all。否则，客户端无法登录服务器。

l      SFTP用户登录时使用的工作目录与用户使用的认证方式有关。只采用publickey认证方式的用户，使用的工作目录为通过ssh user命令为该用户设置的工作目录；只采用password认证方式的用户，使用的工作目录为通过AAA授权的工作目录；同时采用publickey和password两种认证方式的用户，使用的工作目录为通过ssh user命令为该用户设置的工作目录。

l      配置的认证方式和用户公钥，在SSH用户下次登录时才会生效。

 

&  说明：

对于使用publickey认证方式的用户：

l      必须在设备上配置相应的用户及其公钥。

l      登录服务器后，用户可以访问的命令级别为用户界面上通过user privilege level命令配置的级别。缺省情况下，可以访问的命令级别为0。

对于使用password认证方式的用户：

l      用户的账号信息可以配置在设备或者远程认证服务器（如RADIUS认证服务器）上。

l      登录服务器后，用户可以访问的命令级别由AAA来授权。

 

1.2.7  配置服务器上的SSH管理功能

SSH的管理功能包括：

l              设置SSH服务器是否兼容SSH1

l              设置RSA服务器密钥的更新时间，此配置仅对SSH客户端版本为SSH1的用户有效

l              设置SSH认证的超时时间

l              设置SSH用户请求连接的认证尝试次数

通过定时更新服务器密钥以及对用户认证时间、认证次数的限制，可以防止恶意地对密钥和用户名的猜测和破解，从而提高了SSH连接的安全性。

表1-11 配置服务器上的SSH管理功能

操作	命令	说明
进入系统视图	system-view	-
设置SSH服务器是否兼容SSH1	ssh server compatible-ssh1x enable	可选 缺省情况下，SSH服务器兼容SSH1
设置RSA服务器密钥对的更新时间	ssh server rekey-interval hours	可选 缺省情况下，系统不更新RSA服务器密钥对
设置SSH用户的认证超时时间	ssh server authentication-timeout time-out-value	可选 缺省情况下，SSH用户的认证超时时间为60秒
设置SSH认证尝试的最大次数	ssh server authentication-retries times	可选 缺省情况下，SSH连接认证尝试的最大次数为3次

 

&  说明：

SSH客户端通过publickey和password两种方式进行认证尝试的次数总和，不能超过ssh server authentication-retries命令配置的SSH连接认证尝试次数，否则，客户端认证失败，无法登录SSH服务器。

 

1.3  配置设备作为SSH客户端

1.3.1  SSH客户端配置任务简介

表1-12 SSH客户端配置任务简介

配置任务	说明	详细配置
为SSH客户端指定源IP地址或源接口	可选	1.3.2
配置SSH客户端是否支持首次认证	可选	1.3.3
建立SSH客户端和服务器端的连接	必选	1.3.4

 

1.3.2  为SSH客户端指定源IP地址或源接口

用户可以通过以下配置，为SSH客户端指定源IP地址或者源接口，这样客户端可以用指定的IP地址或接口地址访问SSH服务器，增加了业务的可管理性。

表1-13 为SSH客户端指定源IP地址或源接口

操作		命令	说明
进入系统视图		system-view	-
为SSH客户端指定源IP地址或源接口	为SSH客户端指定源IPv4地址或源接口	ssh client source { ip ip-address | interface interface-type interface-number }	必选 缺省情况下，客户端用设备路由指定的接口地址访问SSH服务器
	为SSH客户端指定源IPv6地址或源接口	ssh client ipv6 source { ipv6 ipv6-address | interface interface-type interface-number }

 

1.3.3  配置SSH客户端是否支持首次认证

当设备作为SSH客户端和服务器端连接时，可以设置SSH客户端对访问的SSH服务器是否进行首次认证。

l              如果支持首次认证，则当SSH客户端首次访问服务器，而客户端没有配置服务器端的主机公钥时，用户可以选择继续访问该服务器，并在客户端保存该主机公钥；当用户下次访问该服务器时，就以保存的主机公钥来认证该服务器。

l              如果不支持首次认证，则当客户端没有配置服务器端的主机公钥时，客户端将拒绝访问该服务器。用户必须事先将要访问的服务器端的主机公钥配置在本地，同时指定要连接的服务器端的主机公钥名称，以便客户端对连接的服务器进行认证。

1. 配置SSH客户端支持首次认证

表1-14 配置SSH客户端支持首次认证

操作	命令	说明
进入系统视图	system-view	-
设置SSH客户端对访问的SSH服务器进行首次认证	ssh client first-time enable	可选 缺省情况下，客户端进行首次认证

 

2. 配置SSH客户端不支持首次认证

如果配置SSH客户端不支持首次认证，则需要在客户端配置服务器端的主机公钥，并为要连接的服务器指定主机公钥名称，

表1-15 配置SSH客户端不支持首次认证

操作	命令	说明
进入系统视图	system-view	-
设置SSH客户端对访问的SSH服务器不进行首次认证	undo ssh client first-time	必选 缺省情况下，客户端进行首次认证
配置服务器端的公钥	请参见“1.2.5  配置客户端的公钥”	必选 在客户端配置服务器端公钥的方法，与在服务器端配置客户端公钥的方法相同
在客户端上指定要连接的服务器端的主机公钥名称	ssh client authentication server server assign publickey keyname	必选

 

1.3.4  建立SSH客户端和服务器端的连接

表1-16 建立SSH客户端和服务器端的连接

操作		命令	说明
建立SSH客户端和服务器端的连接，并指定客户端和服务器的首选密钥交换算法、首选加密算法和首选HMAC算法	建立SSH客户端和IPv4服务器端的连接，并指定客户端和服务器的首选密钥交换算法、首选加密算法和首选HMAC算法	ssh2 server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	二者必选其一 必须在用户视图下执行本命令
	建立SSH客户端和IPv6服务器端的连接，并指定客户端和服务器的首选密钥交换算法、首选加密算法和首选HMAC算法	ssh2 ipv6 server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *

 

1.4  SSH协议显示和维护

在完成上述配置后，在任意视图下执行display命令，可以显示配置后SSH的运行情况，通过查看显示信息，验证配置的效果。

表1-17 SSH协议显示和维护

操作	命令
显示本地密钥对的公钥部分	display public-key local { dsa | rsa } public
显示远端公钥信息	display public-key peer [ brief | name publickey-name ]
显示当前为SFTP客户端设置的源IP地址或者源接口	display sftp client source
显示当前为SSH客户端设置的源IP地址或者源接口	display ssh client source
在SSH服务器上显示SSH状态信息或会话信息	display ssh server { status | session }
显示客户端保存的服务器端的主机公钥和服务器的对应关系	display ssh server-info
在SSH服务器上显示SSH用户信息	display ssh user-information [ username ]

 

1.5  设备作为SSH服务器配置举例

1.5.1  password认证配置举例

1. 组网需求

如图1-2，配置Host（SSH客户端）与Switch建立本地连接。Host采用SSH协议登录到Switch上，以保证数据信息交换的安全。SSH用户采用的认证方式为password认证。

2. 组网图

图1-2 SSH本地配置组网图

3. 配置步骤

(1)        配置SSH服务器Switch

# 生成RSA及DSA密钥对，并启动SSH服务器。

<Switch> system-view

[Switch] public-key local create rsa

[Switch] public-key local create dsa

[Switch] ssh server enable

# 配置VLAN接口1的IP地址，客户端将通过该地址连接SSH服务器。

[Switch] interface vlan-interface 1

[Switch-Vlan-interface1] ip address 192.168.1.40 255.255.255.0

[Switch-Vlan-interface1] quit

# 设置SSH客户端登录用户界面的认证方式为AAA认证。

[Switch] user-interface vty 0 4

[Switch-ui-vty0-4] authentication-mode scheme

# 设置Switch上远程用户登录协议为SSH。

[Switch-ui-vty0-4] protocol inbound ssh

[Switch-ui-vty0-4] quit

# 创建本地用户client001，并设置用户访问的命令级别为3。

[Switch] local-user client001

[Switch-luser-client001] password simple aabbcc

[Switch-luser-client001] service-type ssh level 3

[Switch-luser-client001] quit

# 配置SSH用户client001的服务类型为Stelnet，认证方式为password认证。

[Switch] ssh user client001 service-type stelnet authentication-type password

(2)        配置SSH客户端Host

&  说明：

SSH客户端软件有很多，例如PuTTY、OpenSSH等。本文中仅以客户端软件PuTTY0.58为例，说明SSH客户端的配置方法。

 

# 建立与SSH服务器端的连接。

打开PuTTY.exe程序，出现如图1-3所示的客户端配置界面。在“Host Name（or IP address）”文本框中输入SSH服务器的IP地址为192.168.1.40。

图1-3 SSH客户端配置界面（1）

在图1-3中，单击<Open>按钮，按提示输入用户名client001及密码aabbcc，即可进入Switch的配置界面。

1.5.2  publickey认证配置举例

1. 组网需求

如图1-4，配置Host（SSH客户端）与Switch建立本地连接。Host采用SSH协议登录到Switch上，以保证数据信息交换的安全。SSH用户采用的认证方式为publickey认证，公共密钥算法为RSA。

2. 组网图

图1-4 SSH本地配置组网图

3. 配置步骤

(1)        配置SSH服务器Switch

# 生成RSA及DSA密钥对，并启动SSH服务器。

<Switch> system-view

[Switch] public-key local create rsa

[Switch] public-key local create dsa

[Switch] ssh server enable

# 配置VLAN接口1的IP地址，客户端将通过该地址连接SSH服务器。

[Switch] interface vlan-interface 1

[Switch-Vlan-interface1] ip address 192.168.1.40 255.255.255.0

[Switch-Vlan-interface1] quit

# 设置用户接口上认证模式为AAA认证。

[Switch] user-interface vty 0 4

[Switch-ui-vty0-4] authentication-mode scheme

# 设置Switch上远程用户登录协议为SSH。

[Switch-ui-vty0-4] protocol inbound ssh

# 设置用户能访问的命令级别为3。

[Switch-ui-vty0-4] user privilege level 3

[Switch-ui-vty0-4] quit

&  说明：

这里需要先在SSH客户端使用SSH客户端软件生成RSA密钥对，将生成的RSA公钥保存到指定文件中，并将此公钥文件通过FTP/TFTP方式上传到服务器端，文件名为key.pub。相关配置请参见客户端的配置。

 

# 从文件key.pub中导入远端的公钥。

[Switch] public-key peer Switch001 import sshkey key.pub

# 设置SSH用户client002的认证方式为publickey，并指定公钥为Switch001。

[Switch] ssh user client002 service-type stelnet authentication-type publickey assign publickey Switch001

(2)        配置SSH客户端Host

# 生成RSA密钥对。

在客户端运行PuTTYGen.exe，在参数栏中选择“SSH-2 RSA”，点击<Generate>，产生客户端密钥对。

图1-5 生成客户端密钥（1）

在产生密钥对的过程中需不停的移动鼠标，鼠标移动仅限于下图蓝色框中除绿色标记进程条外的地方，否则进程条的显示会不动，密钥对将停止产生，见图1-6。

图1-6 生成客户端密钥（2）

密钥对产生后，点击<Save public key>，输入存储公钥的文件名key.pub，点击保存。

图1-7 生成客户端密钥（3）

点击<Save private key>存储私钥，弹出警告框，提醒是否保存没做任何保护措施的私钥，点击<Yes>，输入私钥文件名为private，点击保存。

图1-8 生成客户端密钥（4）

&  说明：

客户端生成密钥对后，需要将保存的公钥文件通过FTP/TFTP方式上传到服务器，并完成服务器的配置后，才可继续客户端的配置。

 

# 指定私钥文件，并建立与SSH服务器的连接。

打开PuTTY.exe程序，出现如图1-9所示的客户端配置界面。在“Host Name（or IP address）”文本框中输入SSH服务器的IP地址为192.168.1.40。

图1-9 SSH客户端配置界面（1）

单击“SSH”下面的“Auth”（认证），出现如图1-10的界面。单击<Browse…>按钮，弹出文件选择窗口。选择与配置到服务器端的公钥对应的私钥文件private。

图1-10 SSH客户端配置界面（2）

如图1-10，单击<Open>按钮，按提示输入用户名client002，即可进入Switch的配置界面。

1.6  设备作为SSH客户端配置举例

1.6.1  password认证配置举例

1. 组网需求

如图1-11，配置Switch A作为客户端，采用SSH协议登录到Switch B上。SSH用户采用的认证方式为password认证，用户名为client001，密码为aabbcc。

2. 组网图

图1-11 设备作为SSH客户端配置组网图

3. 配置步骤

(1)        配置SSH服务器Switch B

# 生成RSA及DSA密钥对，并启动SSH服务器。

<SwitchB> system-view

[SwitchB] public-key local create rsa

[SwitchB] public-key local create dsa

[SwitchB] ssh server enable

# 配置VLAN接口1的IP地址，客户端将通过该地址连接SSH服务器。

[SwitchB] interface vlan-interface 1

[SwitchB-Vlan-interface1] ip address 10.165.87.136 255.255.255.0

[SwitchB-Vlan-interface1] quit

# 设置SSH客户端登录用户界面的认证方式为AAA认证。

[SwitchB] user-interface vty 0 4

[SwitchB-ui-vty0-4] authentication-mode scheme

# 设置Switch B上远程用户登录协议为SSH。

[SwitchB-ui-vty0-4] protocol inbound ssh

[SwitchB-ui-vty0-4] quit

# 创建本地用户client001。

[SwitchB] local-user client001

[SwitchB-luser-client001] password simple aabbcc

[SwitchB-luser-client001] service-type ssh level 3

[SwitchB-luser-client001] quit

# 配置SSH用户client001的服务类型为Stelnet，认证方式为password认证。

[SwitchB] ssh user client001 service-type stelnet authentication-type password

(2)        配置SSH客户端Switch A

# 配置VLAN接口1的IP地址。

<SwitchA> system-view

[SwitchA] interface vlan-interface 1

[SwitchA-Vlan-interface1] ip address 10.165.87.137 255.255.255.0

[SwitchA-Vlan-interface1] quit

# 配置客户端对服务器不进行首次认证。

[SwitchA] undo ssh client first-time

# 在客户端配置SSH服务器端的主机公钥。在公共密钥编辑视图输入服务器端的主机公钥。

[SwitchA] public-key peer key1

[SwitchA-pkey-public-key] public-key-code begin

[SwitchA-pkey-key-code]308201B73082012C06072A8648CE3804013082011F0281810

0D757262C4584C44C211F18BD96E5F0

[SwitchA-pkey-key-code]61C4F0A423F7FE6B6B85B34CEF72CE14A0D3A5222FE08CECE

65BE6C265854889DC1EDBD13EC8B274

[SwitchA-pkey-key-code]DA9F75BA26CCB987723602787E922BA84421F22C3C89CB9B0

6FD60FE01941DDD77FE6B12893DA76E

[SwitchA-pkey-key-code]EBC1D128D97F0678D7722B5341C8506F358214B16A2FAC4B3

68950387811C7DA33021500C773218C

[SwitchA-pkey-key-code]737EC8EE993B4F2DED30F48EDACE915F0281810082269009E

14EC474BAF2932E69D3B1F18517AD95

[SwitchA-pkey-key-code]94184CCDFCEAE96EC4D5EF93133E84B47093C52B20CD35D02

492B3959EC6499625BC4FA5082E22C5

[SwitchA-pkey-key-code]B374E16DD00132CE71B020217091AC717B612391C76C1FB2E

88317C1BD8171D41ECB83E210C03CC9

[SwitchA-pkey-key-code]B32E810561C21621C73D6DAAC028F4B1585DA7F42519718CC

9B09EEF0381840002818000AF995917

[SwitchA-pkey-key-code]E1E570A3F6B1C2411948B3B4FFA256699B3BF871221CC9C5D

F257523777D033BEE77FC378145F2AD

[SwitchA-pkey-key-code]D716D7DB9FCABB4ADBF6FB4FDB0CA25C761B308EF53009F71

01F7C62621216D5A572C379A32AC290

[SwitchA-pkey-key-code]E55B394A217DA38B65B77F0185C8DB8095522D1EF044B465E

8716261214A5A3B493E866991113B2D

[SwitchA-pkey-key-code]485348

[SwitchA-pkey-key-code] public-key-code end

[SwitchA-pkey-public-key] peer-public-key end

# 指定服务器10.165.87.136对应的主机公钥名称为key1。

[SwitchA] ssh client authentication server 10.165.87.136 assign publickey key1

[SwitchA] quit

# 建立到服务器10.165.87.136的SSH连接。

<SwitchA> ssh2 10.165.87.136

Username: client001

Trying 10.165.87.136

Press CTRL+K to abort

Connected to 10.165.87.136...

Enter password:

**************************************************************************

* Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

**************************************************************************

 

<SwitchB>

1.6.2  publickey认证配置举例

1. 组网需求

如图1-12，配置Switch A作为客户端，采用SSH协议登录到Switch B上。SSH用户采用的认证方式为publickey认证，公共密钥算法为DSA。

2. 组网图

图1-12 设备作为SSH客户端配置组网图

3. 配置步骤

(1)        配置SSH服务器Switch B

# 生成RSA及DSA密钥对，并启动SSH服务器。

<SwitchB> system-view

[SwitchB] public-key local create rsa

[SwitchB] public-key local create dsa

[SwitchB] ssh server enable

# 配置VLAN接口1的IP地址，客户端将通过该地址连接SSH服务器。

[SwitchB] interface vlan-interface 1

[SwitchB-Vlan-interface1] ip address 10.165.87.136 255.255.255.0

[SwitchB-Vlan-interface1] quit

# 设置SSH客户端登录用户界面的认证方式为AAA认证。

[SwitchB] user-interface vty 0 4

[SwitchB-ui-vty0-4] authentication-mode scheme

# 设置Switch B上远程用户登录协议为SSH。

[SwitchB-ui-vty0-4] protocol inbound ssh

# 设置用户能访问的命令级别为3。

[SwitchB-ui-vty0-4] user privilege level 3

[SwitchB-ui-vty0-4] quit

&  说明：

这时需要先在SSH客户端生成DSA密钥对，将生成的DSA公钥保存到指定文件中，并将此公钥文件通过FTP/TFTP方式上传到服务器端，文件名为key.pub。有关配置请参见客户端的配置。

 

# 从文件key.pub中导入远端的公钥。

[SwitchB] public-key peer Switch001 import sshkey key.pub

# 设置SSH用户client002的认证方式为publickey，并指定公钥为Switch001。

[SwitchB] ssh user client002 service-type stelnet authentication-type publickey assign publickey Switch001

(2)        配置SSH客户端Switch A

# 配置VLAN接口1的IP地址。

<SwitchA> system-view

[SwitchA] interface vlan-interface 1

[SwitchA-Vlan-interface1] ip address 10.165.87.137 255.255.255.0

[SwitchA-Vlan-interface1] quit

# 生成DSA密钥对。

[SwitchA] public-key local create dsa

# 将生成的DSA主机公钥导出到指定文件key.pub中。

[SwitchA] public-key local export dsa ssh2 key.pub

[SwitchA] quit

&  说明：

客户端生成密钥对后，需要将保存的公钥文件通过FTP/TFTP方式上传到服务器，并完成服务器的配置后，才可继续客户端的配置。

 

# 建立到服务器10.165.87.136的SSH连接。

<SwitchA> ssh2 10.165.87.136

Username: client002

Trying 10.165.87.136 ...

Press CTRL+K to abort

Connected to 10.165.87.136 ...

 

The Server is not authenticated. Continue? [Y/N]:y

Do you want to save the server public key? [Y/N]:n

 

**************************************************************************

* Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

**************************************************************************

 

<SwitchB>

 

第2章  SFTP服务

2.1  SFTP简介

SFTP是Secure FTP的简称，是SSH 2.0中新增的功能。

SFTP建立在SSH连接的基础之上，它使得远程用户可以安全地登录设备，进行文件管理和文件传送等操作，为数据传输提供了更高的安全保障。同时，由于设备支持作为客户端的功能，用户可以从本地设备安全登录到远程设备上，进行文件的安全传输。

2.2  配置SFTP服务器

2.2.1  配置准备

l              已经完成SSH服务器的配置，具体配置步骤请参见“1.2  配置设备作为SSH服务器”。

l              SSH用户的服务类型设置为sftp或者all。具体配置步骤请参见“1.2.6  配置SSH用户”。

2.2.2  启动SFTP服务器

该配置任务用于启动SFTP服务，使客户端能用SFTP的方式登录到服务器。

表2-1 启动SFTP服务器

操作	命令	说明
进入系统视图	system-view	-
启动SFTP服务器	sftp server enable	必选 缺省情况下，SFTP服务器处于关闭状态

 

&  说明：

设备作为SFTP服务器时，同时只能有一个用户访问SFTP服务器。如果以WinSCP作为SFTP客户端，则无法直接编辑服务器上的文件，需要采用将服务器上的文件下载到本地，在本地修改后上传到服务器的方式实现对文件的编辑。

 

2.2.3  配置SFTP用户连接的空闲超时时间

当SFTP用户连接的空闲时间超过设定的阈值后，系统会自动断开此用户的连接，从而有效避免用户长期占用连接而不进行任何操作。

表2-2 配置SFTP用户连接的空闲超时时间

操作	命令	说明
进入系统视图	system-view	-
设置SFTP用户连接的空闲超时时间	sftp server idle-timeout time-out-value	必选 缺省情况下，SFTP用户连接的空闲超时时间为10分钟

 

2.3  配置SFTP客户端

2.3.1  为SFTP客户端指定源IP地址或源接口

用户可以通过以下配置，使SFTP客户端只能使用指定接口的IP地址或指定IP地址作为源地址建立与SFTP服务器的连接，增加了业务的可管理性。

表2-3 为SFTP客户端指定IP地址或源接口

操作		命令	说明
进入系统视图		system-view	-
为SFTP客户端指定源IP地址或源接口	为SFTP客户端指定源IPv4地址或源接口	sftp client source { ip ip-address | interface interface-type interface-number }	二者必选其一 缺省情况下，客户端用设备路由指定的接口地址访问SFTP服务器
	为SFTP客户端指定源IPv6地址或源接口	sftp client ipv6 source { ipv6 ipv6-address | interface interface-type interface-number }

 

2.3.2  建立与SFTP服务器的连接

该配置任务用来启动SFTP客户端程序，与远程SFTP服务器建立连接，并进入到SFTP客户端视图。

表2-4 建立与SFTP服务器的连接

操作		命令	说明
与远程SFTP服务器建立连接，并进入SFTP客户端视图	与远程IPv4 SFTP服务器建立连接，并进入SFTP客户端视图	sftp server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	必选其一 请在用户视图下执行此命令
	与远程IPv6 SFTP服务器建立连接，并进入SFTP客户端视图	sftp ipv6 server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *

 

2.3.3  SFTP目录操作

SFTP目录操作包括：改变或显示当前的工作目录、显示指定目录下的文件或目录信息、改变服务器上指定的文件夹的名字、创建或删除目录。

表2-5 SFTP目录操作

操作	命令	说明
与远程SFTP服务器建立连接，并进入SFTP客户端视图	sftp [ ipv6 ] server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	必选 请在用户视图下执行此命令
改变远程SFTP服务器上的工作路径	cd [ remote-path ]	可选
返回到上一级目录	cdup	可选
显示远程SFTP服务器上的当前工作目录	pwd	可选
显示指定目录下的文件列表	dir [ -a | -l ] [ remote-path ]	可选 dir和ls两条命令的作用相同
	ls [ -a | -l ] [ remote-path ]
改变SFTP服务器上指定的目录的名字	rename oldname newname	可选
在远程SFTP服务器上创建新的目录	mkdir remote-path	可选
删除SFTP服务器上指定的目录	rmdir remote-path&<1-10>	可选

 

2.3.4  SFTP文件操作

SFTP文件操作包括：改变文件名、下载文件、上传文件、显示文件列表、删除文件。

表2-6 SFTP文件操作

操作	命令	说明
与远程SFTP服务器建立连接，并进入SFTP客户端视图	sftp [ ipv6 ] server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	必选 请在用户视图下执行此命令
改变SFTP服务器上指定的文件的名字	rename old-name new-name	可选
从远程服务器上下载文件并存储在本地	get remote-file [ local-file ]	可选
将本地的文件上传到远程SFTP服务器	put local-file [ remote-file ]	可选
查询指定目录下的文件	dir [ -a | -l ] [ remote-path ]	可选 dir和ls两条命令的作用相同
	ls [ -a | -l ] [ remote-path ]
删除SFTP服务器上指定的文件	delete remote-file&<1-10>	可选 delete和remove两条命令的功能相同
	remove remote-file&<1-10>

 

2.3.5  显示帮助信息

本配置用于显示命令的帮助信息，如命令格式、参数配置等。

表2-7 显示客户端命令的帮助信息

操作	命令	说明
与远程SFTP服务器建立连接，并进入SFTP客户端视图	sftp [ ipv6 ] server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	必选 请在用户视图下执行此命令
显示SFTP客户端命令的帮助信息	help [ all | command-name ]	必选

 

2.3.6  终止与远程SFTP服务器的连接

表2-8 终止与远程SFTP服务器的连接

操作	命令	说明
与远程SFTP服务器建立连接，并进入SFTP客户端视图	sftp [ ipv6 ] server [ port-number ] [ identity-key { dsa | rsa } | prefer-ctos-cipher { aes128 | des } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 } | prefer-kex { dh-group-exchange | dh-group1 | dh-group14 } | prefer-stoc-cipher { aes128 | des } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 } ] *	必选 请在用户视图下执行此命令
终止与远程SFTP服务器的连接，并退回用户视图	bye	必选其一 bye，exit和quit三条命令的功能相同
	exit
	quit

 

2.4  SFTP配置举例

1. 组网需求

如图2-1，Switch A和Switch B之间建立SSH连接，Switch A作为SFTP客户端登录到Switch B，进行文件管理和文件传送等操作，用户名为client001，密码为aabbcc。

2. 组网图

图2-1 SFTP配置组网图

3. 配置步骤

(1)        配置服务器端Switch B

# 生成RSA及DSA密钥对，并启动SSH服务器。

<SwitchB> system-view

[SwitchB] public-key local create rsa

[SwitchB] public-key local create dsa

[SwitchB] ssh server enable

# 配置VLAN接口1的IP地址，客户端将通过该地址连接SSH服务器。

[SwitchB] interface vlan-interface 1

[SwitchB-Vlan-interface1] ip address 192.168.0.1 255.255.255.0

[SwitchB-Vlan-interface1] quit

# 设置SSH客户端登录用户界面的认证方式为AAA认证。

[SwitchB] user-interface vty 0 4

[SwitchB-ui-vty0-4] authentication-mode scheme

# 设置Switch B上远程用户登录协议为SSH。

[SwitchB-ui-vty0-4] protocol inbound ssh

[SwitchB-ui-vty0-4] quit

# 创建本地用户client001。

[SwitchB] local-user client001

[SwitchB-luser-client001] password simple aabbcc

[SwitchB-luser-client001] service-type ssh

[SwitchB-luser-client001] quit

# 配置SSH用户认证方式为password，服务类型为SFTP。

[SwitchB] ssh user client001 service-type sftp authentication-type password

&  说明：

如果配置SSH用户的认证方式为publickey，则需要配置Switch A的主机公钥。具体配置方法可以参见“1.6.2  publickey认证配置举例”。

 

# 启动SFTP服务器。

[SwitchB] sftp server enable

(2)        配置客户端Switch A

# 配置VLAN接口1的IP地址。

<SwitchA> system-view

[SwitchA] interface vlan-interface 1

[SwitchA-Vlan-interface1] ip address 192.168.0.2 255.255.255.0

[SwitchA-Vlan-interface1] quit

[SwitchA] quit

# 与远程SFTP服务器建立连接，进入SFTP Client视图。

<SwitchA> sftp 192.168.0.1

Input Username: client001

Trying 192.168.0.1 ...

Press CTRL+K to abort

Connected to 192.168.0.1 ...

 

The Server is not authenticated. Continue? [Y/N]:y

Do you want to save the server public key? [Y/N]:y

Enter password:

 

sftp-client>

# 显示服务器的当前目录，删除文件z，并检查此目录是否删除成功。

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

-rwxrwxrwx   1 noone    nogroup         0 Sep 01 08:00 z

sftp-client> delete z

The following files will be deleted:

/z

Are you sure to delete it? [Y/N]:y

This operation may take a long time.Please wait...

 

File successfully Removed

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

# 新增目录new1，并检查新目录是否创建成功。

sftp-client> mkdir new1

New directory created

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:30 new1

# 将目录名new1更名为new2，并查看是否更名成功。

sftp-client> rename new1 new2

File successfully renamed

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:33 new2

# 从服务器上下载文件pubkey2到本地，并更名为public。

sftp-client> get pubkey2 public

Remote  file:/pubkey2 --->  Local file: public

Downloading file successfully ended

# 将本地文件pu上传到服务器上，更名为puk，并查看上传是否成功。

sftp-client> put pu puk

Local file:pu --->  Remote file: /puk

Uploading file successfully ended

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:33 new2

-rwxrwxrwx   1 noone    nogroup       283 Sep 02 06:35 pub

-rwxrwxrwx   1 noone    nogroup       283 Sep 02 06:36 puk

sftp-client>

# 退出SFTP。

sftp-client> quit

Bye

Connection closed.

<SwitchA>