資源描述：
《cisco路由器的ssh配置詳解》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。
1、Cisco路由器的SSH配置詳解2008-06-1813:04如果你一直利用Telnet控制網(wǎng)絡(luò)設(shè)備，你可以考慮采用其他更安全的方式。本文告訴你如何用SSH替換Telnet. 使用Telnet這個(gè)用來訪問遠(yuǎn)程計(jì)算機(jī)的TCP/IP協(xié)議以控制你的網(wǎng)絡(luò)設(shè)備相當(dāng)于在離開某個(gè)建筑時(shí)大喊你的用戶名和口令。很快地，會(huì)有人進(jìn)行監(jiān)聽，并且他們會(huì)利用你安全意識(shí)的缺乏?！ SH是替代Telnet和其他遠(yuǎn)程控制臺(tái)管理應(yīng)用程序的行業(yè)標(biāo)準(zhǔn)。SSH命令是加密的并以幾種方式進(jìn)行保密。 在使用SSH的時(shí)候，一個(gè)數(shù)字證書將認(rèn)證客戶端（你的工作站）和服務(wù)器（你的網(wǎng)絡(luò)設(shè)備）之間的連接，并加
2、密受保護(hù)的口令。SSH1使用RSA加密密鑰，SSH2使用數(shù)字簽名算法（DSA）密鑰保護(hù)連接和認(rèn)證。 加密算法包括Blowfish，數(shù)據(jù)加密標(biāo)準(zhǔn)（DES），以及三重DES（3DES）。SSH保護(hù)并且有助于防止欺騙，“中間人”攻擊，以及數(shù)據(jù)包監(jiān)聽。 實(shí)施SSH的第一步是驗(yàn)證你的設(shè)備支持SSH.請(qǐng)登錄你的路由器或交換機(jī)，并確定你是否加載了一個(gè)支持SSH的IPSecIOS鏡像。在我們的例子中，我們將使用CiscoIOS命令。運(yùn)行下面的命令：Router>Showflash 該命令顯示已加載的IOS鏡像名稱。你可以用結(jié)果對(duì)比你的供應(yīng)商的支持特性列表。 在你驗(yàn)
3、證了你的設(shè)備支持SSH之后，請(qǐng)確保設(shè)備擁有一個(gè)主機(jī)名和配置正確的主機(jī)域，就像下面的一樣：Router>configterminalRouter(config)#hostnameRouterRouter(config)#ipdomain-nameBluShin.cn 在這個(gè)時(shí)候，你就可以啟用路由器上的SSH服務(wù)器。要啟用SSH服務(wù)器，你首先必須利用下面的命令產(chǎn)生一對(duì)RSA密鑰：Router(config)#cryptokeygeneratersa 在路由器上產(chǎn)生一對(duì)RSA密鑰就會(huì)自動(dòng)啟用SSH.如果你刪除這對(duì)RSA密鑰，就會(huì)自動(dòng)禁用該SSH服務(wù)器?！ ?shí)
4、施SSH的最后一步是啟用認(rèn)證，授權(quán)和審計(jì)（AAA）。在你配置AAA的時(shí)候，請(qǐng)指定用戶名和口令，會(huì)話超時(shí)時(shí)間，一個(gè)連接允許的嘗試次數(shù)。像下面這樣使用命令：Router(config)#aaanew-modelRouter(config)#usernameBluShinpasswordp4ssw0rdRouter(config)#ipsshtime-outRouter(config)#ipsshauthentication-retries 要驗(yàn)證你已經(jīng)配置了SSH并且它正運(yùn)行在你的路由器上，執(zhí)行下面的命令：Router#showipssh 在驗(yàn)證了配置之后
5、，你就可以強(qiáng)制那些你在AAA配置過程中添加的用戶使用SSH，而不是Telnet.你也可以在虛擬終端（vty）連接中應(yīng)用SSH而實(shí)現(xiàn)同樣的目的。這里給出一個(gè)例子：Router(config)#linevty04Router(config-line)#transportinputSSH 在你關(guān)閉現(xiàn)存的Telnet會(huì)話之前，你需要一個(gè)SSH終端客戶端程序以測試你的配置。我極力推薦PuTTY；它是免費(fèi)的，而且它是一個(gè)優(yōu)秀的終端軟件。IOS設(shè)備配置實(shí)例NativeIOS設(shè)備的配置a）軟件需求 IOS版本12.0.（10）S以上含IPSEC56Feature 推
6、薦使用IOS12.2IPPLUSIPSEC56C以上版本 基本上Cisco全系列路由器都已支持，但為運(yùn)行指定版本的軟件您可能需要相應(yīng)地進(jìn)行硬件升級(jí)b）定義用戶 userBluShinsecretp4ssc）定義域名 ipdomain-nameBluShin.cn//配置SSH必需d）生成密鑰 cryptokeygeneratersamodulus2048 執(zhí)行結(jié)果：Thenameforthekeyswillbe:6509-mize.myrice.com%Thekeymodulussizeis2048bitsGeneratingRSAkeys...
7、[OK]e）指定可以用SSH登錄系統(tǒng)的主機(jī)的源IP地址access-list90remarkHostsallowedtoSSHin//低版本可能不支持remark關(guān)鍵字access-list90permit10.10.1.100access-list90permit10.10.1.101f）限制登錄linecon0loginlocallinevty04loginlocal//使用本地定義的用戶名和密碼登錄transportinputSSH//只允許用SSH登錄(注意：禁止telnet和從交換引擎session!)access-class90in//只允許指
8、定源主機(jī)登錄2.CatOSCatOS設(shè)備的配置a）軟件需求 運(yùn)行
