目  录

第1章 SSH终端服务

1.1 SSH终端服务

1.1.1 SSH简介

1.1.2 SSH Server配置

1.1.3 SSH Client配置

1.1.4 SSH配置显示

1.1.5 SSH Server配置举例

1.1.6 SSH Client配置举例

1.2 SFTP服务

1.2.1 SFTP简介

1.2.2 SFTP Server配置

1.2.3 SFTP Client配置

1.2.4 SFTP配置举例

第1章  SSH终端服务

1.1  SSH终端服务

1.1.1  SSH简介

SSH是Secure Shell（安全外壳）的简称。当用户通过一个不能保证安全的网络环境远程登录到交换机时，SSH特性可以提供安全的信息保障和强大的认证功能，以保护交换机不受诸如IP地址欺诈、明文密码截取等攻击。

作为SSH服务器端，交换机可以接受多个SSH客户的连接；作为SSH客户端，交换机则可以与支持SSH Server的交换机、UNIX主机等建立SSH连接。

目前交换机支持的SSH版本是SSH 2.0（可兼容SSH1.5）。

在整个通讯过程中，为实现SSH认证的安全连接，服务器端与客户端要经历如下五个阶段：

(1)        版本号协商阶段。具体步骤如下：

l              客户端向服务器端发送TCP连接请求。

l              TCP连接建立后，服务器端和客户端进行版本号协商。

l              如果协商成功，则进入密钥算法协商阶段，否则服务器端断开TCP连接。

(2)        密钥和算法协商阶段。具体步骤如下：

l              服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的服务器端公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等。

l              服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法。

l              利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。

通过以上步骤，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。在认证阶段，两端会使用会话ID用于认证过程。

(3)        认证阶段

客户端向服务器端发送认证请求报文，认证请求中包含用户名、认证方法等相关内容，服务器端启动对该用户进行认证的程序。

SSH提供两种认证方法：

l              password认证：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器；服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败的消息。

l              RSA认证：客户端发送包含客户端公钥模数的RSA认证请求给服务器端；服务器进行合法性检查，如果不合法，则直接发送失败消息，否则产生一个32字节的随机数，按MSB（Most Significant Bit，最高位）优先排列成一个MP（Multiple Precision，多精度）型整数，并用客户端的公钥加密后向客户端发起一个认证挑战；客户端收到挑战消息后用自己的私钥解密得到MP型整数，用它和会话ID（密钥和算法协商阶段生成的中间产物）生成消息摘要MD5值，把这个16字节的MD5值加密后发送给服务器；服务器接收后还原出MD5值并与它自己计算出的MD5值相比较，如果相同，认证成功，发送成功消息；否则失败，发送失败消息。

(4)        会话请求阶段：认证通过后，客户端将向服务器端发送会话请求。服务器端成功处理请求后，SSH进入交互会话阶段。

(5)        交互会话阶段：客户端和服务器端进行数据交互，直到会话结束。

1.1.2  SSH Server配置

SSH服务器端的配置命令包括：

表1-1 SSH2.0的配置

1. 配置所在用户界面支持的协议

该配置任务用来指定所在的用户界面支持的协议。

表1-2 设置所在用户界面支持的协议

2. 生成或销毁RSA密钥

该配置任务用来生成或者销毁密钥对，生成服务器端的RSA密钥对是完成SSH登录的必要操作。生成密钥对时，系统会提示您输入密钥的长度，密钥的最小长度为512位，最大长度为2048位，缺省长度为1024位。如果此时已经有了密钥对，系统提示是否替换原有密钥对。

表1-3 生成或销毁RSA密钥

3. 创建SSH用户

表1-4 创建SSH用户

需要注意的是：通过该方式创建的SSH用户，若没有通过ssh user authentication-type命令单独为这个用户指定认证方式，则该用户采用缺省认证方式。

4. 指定用户的认证方式

该配置任务用来为SSH用户指定认证方式。对于新用户，必须指定其认证方式，否则将无法登录。

表1-5 指定SSH用户的认证方式

需要注意的是：

l              ssh authentication-type default命令用来为所有用户配置缺省的认证方式。

l              ssh user username authentication-type命令用来为某一用户指定认证方式

l              当两条命令同时配置，且认证方式不同时，用户username的认证方式以ssh user username authentication-type命令的配置为准。

5. 配置服务器上的SSH管理功能

SSH管理功能包括设置认证超时时间、验证重试次数、服务器密钥的更新时间和SSH兼容方式。设置完成后，可以防止恶意猜测密码等非法行为，更大限度地保证用户SSH连接的安全性。

表1-6 配置服务器上的SSH管理功能

6. 配置客户端公共密钥

本配置适用于对SSH用户采用RSA认证的情况。在设备上配置的是客户端SSH用户的RSA公钥。而在客户端，需要为该SSH用户指定与RSA公钥对应的RSA私钥。此时客户端的公共密钥，是由支持SSH2.0的客户端软件随机生成的。

如果设备上对SSH用户配置的认证方式为口令认证，则不必进行本配置。

表1-7 配置客户端用户的RSA公钥

1.1.3  SSH Client配置

1. SSH客户端的配置包括：

l              建立SSH客户端和服务器端的连接

l              为服务器端分配公共密钥

l              配置对SSH服务器进行首次认证

详细的配置过程如下表1-8所示。

表1-8 配置SSH客户端

1.1.4  SSH配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置SSH后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表1-9 SSH配置显示

1.1.5  SSH Server配置举例

1. 组网需求

如图1-1所示，PC终端（SSH Client）上运行支持SSH2.0的客户端软件，与交换机（SSH Server）建立本地连接，更大限度地保证数据信息交换的安全。

2. 组网图

图1-1 SSH Server配置组网图

3. 配置步骤

(1)        生成本地RSA密钥。

<H3C>system-view

[H3C] rsa local-key-pair create

(2)        设置用户登录认证方式。

下面按照两种认证方式分别进行配置。

第一种方式：password认证。

# 设置用户接口上的认证模式为AAA认证。

[H3C] user-interface vty 0 4

[H3C-ui-vty0-4] authentication-mode scheme

# 设置用户接口上支持SSH协议。

[H3C-ui-vty0-4] protocol inbound ssh

# 指定用户client001的登录协议为SSH，能访问的命令级别为3，认证方式为password，认证密码为abc。

[H3C] local-user client001

[H3C-luser-client001] password simple abc

[H3C-luser-client001] service-type ssh level 3

[H3C-luser-client001] quit

[H3C] ssh user client001 authentication-type password

第二种方式：RSA公钥认证。

# 设置用户接口上的认证模式为AAA认证。

[H3C] user-interface vty 0 4

[H3C-ui-vty0-4] authentication-mode scheme

# 设置用户接口上支持SSH协议。

[H3C-ui-vty0-4] protocol inbound ssh

# 设置用户能访问的命令级别为3。

[H3C-ui-vty0-4] user privilege level 3

[H3C-ui-vty0-4] quit

# 指定用户client002的登录协议为SSH，认证方式为RSA公钥认证。

[H3C] ssh user client002 authentication-type rsa

# 在支持SSH2.0的客户端软件上，随机产生RSA密钥对，并将公钥部分传送到服务器端。

# 在服务器端配置客户端的公钥，指定公钥名称为H3C002。

[H3C] rsa peer-public-key H3C002

[H3C-rsa-public-key] public-key-code begin

[H3C-rsa-key-code] 308186028180739A291ABDA704F5D93DC8FDF84C427463

[H3C-rsa-key-code] 1991C164B0DF178C55FA833591C7D47D5381D09CE82913

[H3C-rsa-key-code] D7EDF9C08511D83CA4ED2B30B809808EB0D1F52D045DE4

[H3C-rsa-key-code] 0861B74A0E135523CCD74CAC61F8E58C452B2F3F2DA0DC

[H3C-rsa-key-code] C48E3306367FE187BDD944018B3B69F3CBB0A573202C16

[H3C-rsa-key-code] BB2FC1ACF3EC8F828D55A36F1CDDC4BB45504F020125

[H3C-rsa-key-code] public-key-code end

[H3C-rsa-public-key] peer-public-key end

[H3C] ssh user client002 assign rsa-key H3C002

# 在保留有RSA私钥的终端上启动SSH客户端软件，并进行相应的配置，即可建立SSH连接。

1.1.6  SSH Client配置举例

1. 组网需求

如图1-2所示：

l              交换机Switch A作为SSH客户端，用户名client003；

l              交换机Switch B作为SSH服务器，IP地址为10.165.87.136。

l              SSH客户端对SSH服务器的身份进行验证，以保证登录到真实的SSH服务器端。

2. 组网图

图1-2 SSH Client配置组网图

3. 配置步骤

以下配置均在Switch B上进行。

(1)        配置客户端对服务器不进行首次认证。

<H3C> system-view

[H3C] undo ssh client first-time

(2)        在客户端配置服务器公钥。

[H3C] rsa peer-public-key public

[H3C-rsa-public-key] public-key-code begin

[H3C-rsa-key-code] 308186028180739A291ABDA704F5D93DC8FDF84C427463

[H3C-rsa-key-code] 1991C164B0DF178C55FA833591C7D47D5381D09CE82913

[H3C-rsa-key-code] D7EDF9C08511D83CA4ED2B30B809808EB0D1F52D045DE4

[H3C-rsa-key-code] 0861B74A0E135523CCD74CAC61F8E58C452B2F3F2DA0DC

[H3C-rsa-key-code] C48E3306367FE187BDD944018B3B69F3CBB0A573202C16

[H3C-rsa-key-code] BB2FC1ACF3EC8F828D55A36F1CDDC4BB45504F020125

[H3C-rsa-key-code] public-key-code end

[H3C-rsa-public-key] peer-public-key end

[H3C] ssh client 10.165.87.136 assign rsa-key public

(3)        启动SSH客户端。

下面分别按照服务器的两种认证方式进行配置。

l              采用password认证，按照缺省的加密算法启动。

[H3C] ssh2 10.165.87.136

username: client003

Username: 123

Trying 10.165.87.136 ...

Press CTRL+K to abort

Connected to 10.165.87.136 ...

Enter password:

**************************************************************************

*  Copyright(c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved.*

*  Without the owner's prior written consent,                                  *

*  no decompiling or reverse-engineering shall be allowed.                     *

**************************************************************************

<H3C>

l              采用RSA公钥认证，按照所设置的相应加密算法启动。

[H3C] ssh2 10.165.87.136 perfer_kex dh_group1 perfer_ctos_cipher des perfer_ctos_hmac md5 perfer_stoc_hmac md5

username: client003

Trying 10.165.87.136...

Press CTRL+K to abort

Connected to 10.165.87.136...

**************************************************************************

*  Copyright(c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved.*

*  Without the owner's prior written consent,                                  *

*  no decompiling or reverse-engineering shall be allowed.                     *

**************************************************************************

<H3C>

1.2  SFTP服务

1.2.1  SFTP简介

SFTP是Secure FTP的简称，是SSH2.0中新增的功能。

SFTP建立在SSH连接的基础之上，它使得远程用户可以安全地登录交换机设备，进行文件管理和文件传送等操作（如进行系统升级），为数据传输提供了更高的安全保障。同时，由于提供了客户端功能，用户可以从本地设备安全登录到远程设备上，进行文件的安全传输。

1.2.2  SFTP Server配置

SFTP服务器端配置包括：

l              配置用户使用的服务类型；

l              启动SFTP服务器；

1. 配置用户使用的服务类型

该配置任务用于设定用户可以使用的SSH服务类型。

表1-10 配置用户可以使用的服务类型

2. 启动SFTP服务器

表1-11 启动SFTP服务器

1.2.3  SFTP Client配置

SFTP客户端的配置包括：

表1-12 SFTP客户端配置

1. 启动SFTP客户端

该配置任务用来启动SFTP客户端程序，与远程SFTP服务器建立连接，并进入到SFTP client视图。

表1-13 启动SFTP客户端

2. 关闭SFTP客户端

该配置任务用来关闭SFTP客户端程序。

表1-14 关闭SFTP客户端

3. SFTP目录操作

SFTP目录操作包括：改变或显示当前的工作目录，创建或删除目录，显示指定目录下的文件或目录信息。

表1-15 SFTP目录操作

4. SFTP文件操作

SFTP文件操作包括：改变文件名、下载文件、上传文件、显示文件列表、删除文件。

表1-16 SFTP文件操作

5. 显示帮助信息

本配置用于显示相关命令的帮助信息，如命令格式，参数配置等。

表1-17 显示客户端命令的帮助信息

1.2.4  SFTP配置举例

1. 组网需求

如图1-3所示：

l              Switch A和Switch B已经建立起安全的SSH连接；

l              Switch B作为SFTP服务器，IP地址为10.111.27.91；

l              Switch A作为SFTP客户端；

l              SFTP的用户名为abc，密码为hello。

2. 组网图

图1-3 SFTP配置组网图

3. 配置步骤

(1)        配置服务器端Switch B。

# 启动SFTP服务器。

[H3C] sftp server enable

# 指定用户的服务类型为SFTP。

[H3C] ssh user abc service-type sftp

(2)        配置客户端Switch A。

# 与远程SFTP服务器建立连接，进入SFTP client视图。

[H3C] sftp 10.111.27.91

# 显示服务器的当前目录，删除文件z，并检查此目录是否删除成功。

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

-rwxrwxrwx   1 noone    nogroup         0 Sep 01 08:00 z

sftp-client> delete z

The following File will be deleted:

flash:/z

Are you sure to delete it?(Y/N):y

This operation may take a long time.Please wait...

File successfully Removed

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

# 新增目录new1，并检查新目录是否创建成功。

sftp-client> mkdir new1

New directory created

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:30 new1

# 将目录名new1更名为new2，并查看是否更名成功。

sftp-client> rename new1 new2

File successfully renamed

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

-rwxrwxrwx   1 noone    nogroup       225 Sep 01 06:55 pub

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:33 new2

# 从服务器上下载文件pubkey2到本地，并更名为public。

sftp-client> get pubkey2 public

Remote  file:flash:/pubkey2 --->  Local file: public..

Downloading file successfully ended

# 将本地文件pu上传到服务器上，更名为puk，并查看上传是否成功。

sftp-client> put pu puk

Local file: pu --->  Remote file: flash:/puk

Uploading file successfully ended

sftp-client> dir

-rwxrwxrwx   1 noone    nogroup      1759 Aug 23 06:52 config.cfg

-rwxrwxrwx   1 noone    nogroup       225 Aug 24 08:01 pubkey2

-rwxrwxrwx   1 noone    nogroup       283 Aug 24 07:39 pubkey1

drwxrwxrwx   1 noone    nogroup         0 Sep 01 06:22 new

drwxrwxrwx   1 noone    nogroup         0 Sep 02 06:33 new2

-rwxrwxrwx   1 noone    nogroup       283 Sep 02 06:35 pub

-rwxrwxrwx   1 noone    nogroup       283 Sep 02 06:36 puk

sftp-client>

# 退出SFTP。

sftp-client> quit

Bye

[H3C]