Cisco路由器的SSH配置詳解.doc

Cisco路由器的SSH配置詳解2008-06-18 13:04如果你一直利用Telnet控制網(wǎng)絡設備，你可以考慮采用其他更安全的方式。本文告訴你如何用SSH替換Telnet.使用Telnet這個用來訪問遠程計算機的TCP/IP協(xié)議以控制你的網(wǎng)絡設備相當于在離開某個建筑時大喊你的用戶名和口令。很快地，會有人進行監(jiān)聽，并且他們會利用你安全意識的缺乏。SSH是替代Telnet和其他遠程控制臺管理應用程序的行業(yè)標準。SSH命令是加密的并以幾種方式進行保密。在使用SSH的時候，一個數(shù)字證書將認證客戶端（你的工作站）和服務器（你的網(wǎng)絡設備）之間的連接，并加密受保護的口令。SSH1使用RSA加密密鑰，SSH2使用數(shù)字簽名算法（DSA）密鑰保護連接和認證。加密算法包括Blowfish，數(shù)據(jù)加密標準（DES），以及三重DES（3DES）。SSH保護并且有助于防止欺騙，“中間人”攻擊，以及數(shù)據(jù)包監(jiān)聽。實施SSH的第一步是驗證你的設備支持SSH.請登錄你的路由器或交換機，并確定你是否加載了一個支持SSH的IPSec IOS鏡像。在我們的例子中，我們將使用Cisco IOS命令。運行下面的命令：Router Show flash該命令顯示已加載的IOS鏡像名稱。你可以用結果對比你的供應商的支持特性列表。在你驗證了你的設備支持SSH之后，請確保設備擁有一個主機名和配置正確的主機域，就像下面的一樣：Router config terminalRouter (config)# hostname RouterRouter (config)# ip domain-name BluS在這個時候，你就可以啟用路由器上的SSH服務器。要啟用SSH服務器，你首先必須利用下面的命令產(chǎn)生一對RSA密鑰：Router (config)# crypto key generate rsa在路由器上產(chǎn)生一對RSA密鑰就會自動啟用SSH.如果你刪除這對RSA密鑰，就會自動禁用該SSH服務器。實施SSH的最后一步是啟用認證，授權和審計（AAA）。在你配置AAA的時候，請指定用戶名和口令，會話超時時間，一個連接允許的嘗試次數(shù)。像下面這樣使用命令：Router (config)# aaa new-modelRouter (config)# username BluShin password p4ssw0rdRouter (config)# ip ssh time-outRouter (config)# ip ssh authentication-retries要驗證你已經(jīng)配置了SSH并且它正運行在你的路由器上，執(zhí)行下面的命令：Router# show ip ssh在驗證了配置之后，你就可以強制那些你在AAA配置過程中添加的用戶使用SSH，而不是Telnet.你也可以在虛擬終端（vty）連接中應用SSH而實現(xiàn)同樣的目的。這里給出一個例子：Router (config)# line vty 0 4Router (config-line)# transport input SSH在你關閉現(xiàn)存的Telnet會話之前，你需要一個SSH終端客戶端程序以測試你的配置。我極力推薦PuTTY；它是免費的，而且它是一個優(yōu)秀的終端軟件。IOS設備配置實例Native IOS設備的配置a） 軟件需求IOS版本12.0.（10）S 以上 含IPSEC 56 Feature推薦使用 IOS 12.2 IP PLUS IPSEC 56C以上版本基本上Cisco全系列路由器都已支持，但為運行指定版本的軟件您可能需要相應地進行硬件升級b） 定義用戶user BluShin secret p4ssc） 定義域名ip domain-name BluS /配置SSH必需d） 生成密鑰crypto key generate rsa modulus 2048執(zhí)行結果：The name for the keys will be: 6509- % The key modulus size is 2048 bits Generating RSA keys . OKe）指定可以用SSH登錄系統(tǒng)的主機的源IP地址access-list 90 remark Hosts allowed to SSH in /低版本可能不支持remark關鍵字 access-list 90 permit 00 access-list 90 permit 01f） 限制登錄line con 0 login local line vty 0 4 login local /使用本地定義的用戶名和密碼登錄 transport input SSH /只允許用SSH登錄(注意：禁止telnet和從交換引擎session!) access-class 90 in /只允許指定源主機登錄2.CatOSCatOS設備的配置a） 軟件需求運行CatOS的6500/4000交換引擎提供SSH服務需要一個6.1以上“k9”版本的軟件，如： cat6000-sup2cvk9.7-4-3.bin 和 cat4000-k9.6-3-3a.bin.8540/8510交換機支持SSH需要以上12.1（12c）EY版本軟件。3550交換機支持SSH需要12.1（11）EA1以上版本軟件。其他交換機可能不支持SSH.b） 生成密鑰set crypto key rsa 2048密鑰的生成需要1-2分鐘，執(zhí)行完畢后可用命令show crypto key查看生成的密鑰。c） 限制管理工作站地址set ip permit 00 ssh /只允許使用SSH登錄的工作站 set ip permit 01 ssh set ip permit enable ssh /檢查SSH連接的源地址 set ip permit enable telnet /檢查telnet連接的源地址 set ip permit enable snmp /檢查snmp請求的源地址如果服務的ip permit 處于disable狀態(tài)，所有的連接將被允許（當然服務如telnet本身可能包含用戶認證機制）。如果指定服務的ip permit 處于enable狀態(tài)，則管理工作站的地址必須事先用set ip permit 可選的子網(wǎng)掩碼 允許使用的服務類型（ssh/telnet/snmp）來定義可用命令 show ip permit 來檢查ip permit 的配置某些服務可能存在安全漏洞（如http）或協(xié)議本身設計就是比較不安全的（如snmp、telnet）。如果服務不是必要的，可以將之關閉；如果服務是必須的，應采取措施保證這些服務僅向合法用戶提供：6500/4000交換引擎：set ip http server disable /關閉http服務 set ip permit enable snmp /限制SNMP源地址 set snmp comm. read-only /清空預設的SNMP COMM字 set snmp comm. read-write set snmp comm. read-write-all8500、7500、MSFC等IOS設備：no ip http server /關閉http服務 no snmp /關閉snmp服務 no service dhcp /關閉 dhcp 服務 no ip finger /關閉 finger 服務 no service tcp-small-server /關閉tcp基本服務 no service udp-small-server /關閉 udp基本服務 service password-encryption /啟用明文密碼加密服務SSH 客戶端a） 從管理工作站登錄必須使用支持SSH v1協(xié)議的終端仿真程序才能使用SSH協(xié)議管理設備，推薦使用Secure CRT 3.3， 也可以使用免費軟件putty.下面介紹使用Secure CRT登錄SSH設備的方法：運行Secure CRT程序，選擇菜單File Quick Connect設置以下參數(shù)：Protocol（協(xié)議）： ssh1 Hostname（主機名）： Port（端口）： 22 Username（用戶名）： mize Ciper（加密方法）： 3DES Authentication（認證方式）assword 點擊Connect，這時可能會提示您接受來自設備的加密公鑰，選擇Accept once（只用一次）或Accept & Save （保存密鑰以便下次使用）。由于協(xié)議實現(xiàn)的問題，可能會碰到SSH Buffer Overflow的問題，如果出現(xiàn)“收到大于16k的密鑰”的提示，請重新連接。連接正常，輸入密碼即可登錄到系統(tǒng)。第二次登錄點擊File Connect 點擊連接即可。b） 從IOS設備用SSH協(xié)議登錄其他設備IOS設備也可以發(fā)起SSH連接請求（作為SSH Client），從IO