华为交换机的SSH配置

1.创建本地RSA密钥对

<DGZ-CNET-EPC-LANSW1>system-view
[DGZ-CNET-EPC-LANSW1]rsa local-key-pair creat  //产生RSA本地密钥对
The key name will be: DGZ-CNET-EPC-LANSW1_Host
The range of public key size is (512 ~ 2048).
NOTES: If the key modulus is greater than 512,
       it will take a few minutes.
Input the bits in the modulus[default = 512]:2048
Generating keys...
..++++++++++++
...........++++++++++++
.....................++++++++
..................++++++++

ssh对密钥长度有要求，不足则登录时会报错：ssh_rsa_verify: RSA modulus too small: 512 < minimum 768 bits

2.创建SSH用户

[DGZ-CNET-EPC-LANSW1]ssh user root      // 此步可省
[DGZ-CNET-EPC-LANSW1]ssh user root authentication-type password     // 设置root的认证方式为password，执行这条命令时，会创建用户，并且service-tye设置为all；可选类型{all | dsa | rsa | password | password-dsa | password-rsa}
Info: Succeeded in adding a new SSH user.
[DGZ-CNET-EPC-LANSW1]ssh user root service-type stelnet     // 设定root用户的可用登录类型为ssh，华为的stelnet表示ssh；执行这条命令时，会创建用户，但不会设置authentication-type；可选类型{sftp | stelnet | all }

3. 配置不同认证方式的操作

3.1 认证方式为password

ssh authentication-type default password可设置所有用户默认的认证方式为password

刚使用ssh user root authentication-type password设置root用户为password认证，因此进行以下操作

[DGZ-CNET-EPC-LANSW1]aaa  // 进入aaa，设置创建用户
[DGZ-CNET-EPC-LANSW1-aaa]local-user root password cipher password   // 本地库root，password为自定义用户名密码
Info: Add a new user.
[DGZ-CNET-EPC-LANSW1-aaa]local-user root service-type ssh   // root用户只允许ssh登录
[DGZ-CNET-EPC-LANSW1-aaa]local-user root privilege level 3  // 设置用户权限
[DGZ-CNET-EPC-LANSW1-aaa]quit

3.2 认证方式为RSA

ssh user xxx authentication-type rsa
     rsa peer-public-key yyy //进入公钥yyy的视图
     public-key-code begin //进入公钥编辑视图
     输入合法的密钥编码hex-data，编辑公共密钥
     public-key-code end //退出公钥编辑视图，这是在hex-data输入合法后，将生成密钥
     ssh user xxx assign rsa-key yyy  //为SSH用户分配公钥yyy

如果创建的认证方式为password或password-rsa的SSH用户
     则需要在AAA视图下创建同名的local-user用户
     1、aaa
     2、local-user xxx password cipher *******
     3、local-user xxx service-type ssh

未实践！

4.启用SSH服务

[DGZ-CNET-EPC-LANSW1]stelnet server enable  // 启用ssh服务

5.配置vty界面支持的登录协议

[DGZ-CNET-EPC-LANSW1]user-interface vty 0 4   // 进入管理控制端配置
[DGZ-CNET-EPC-LANSW1-ui-vty0-4]authentication-mode aaa      // 设置AAA验证
[DGZ-CNET-EPC-LANSW1-ui-vty0-4]protocol inbound ssh            // 协议方式只允许ssh，可选{all|ssh|telnet}
[DGZ-CNET-EPC-LANSW1-ui-vty0-4]quit