加固顺序很关键
Telnet 以明文传口令，早已不该出现在生产网络。加固顺序固定：先生成密钥、再启用 SSH 服务、然后限制 VTY 只接受 SSH、最后关闭 Telnet 服务。顺序颠倒容易造成新通道还没通、旧通道先关掉，或者留下明文入口没堵住。
基本信息
| 适用平台 | 华为 VRP / Cisco IOS / H3C Comware |
|---|---|
| 华为命令 | rsa local-key-pair create + stelnet server enable + protocol inbound ssh |
| 思科命令 | ip domain-name + crypto key generate rsa + transport input ssh |
| H3C 命令 | public-key local create rsa + ssh server enable + protocol inbound ssh |
| 关闭 Telnet | 华为与 H3C 用 undo telnet server enable；思科靠 VTY 协议限制 |
| 版本建议 | 思科 ip ssh version 2 只允许 SSHv2 |
典型使用场景
- 等保与安全基线要求管理通道全部加密
- 新设备开局直接只开 SSH，从源头不留明文通道
- 老旧设备整改，从 Telnet 迁移到 SSH 登录
- 排查为什么 Telnet 还能连上：核对 VTY 协议与服务开关
- 批量整改：把加固命令做成模板批量下发
华为 VRP
华为 VRP
rsa local-key-pair create # 先生成密钥对
stelnet server enable # 开启 SSH（stelnet）服务
ssh user admin authentication-type password
ssh user admin service-type stelnet
user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh # 只允许 SSH 进入
undo telnet server enable # 关闭明文 Telnet 服务思科 IOS 与 H3C
思科 IOS 与 H3C
ip domain-name example.com # 生成密钥前必须先有域名
crypto key generate rsa modulus 2048 # 生成 RSA 密钥
ip ssh version 2 # 只允许 SSHv2
line vty 0 4
login local
transport input ssh # VTY 仅接受 SSH
# H3C Comware
public-key local create rsa
ssh server enable
line vty 0 4
authentication-mode scheme
protocol inbound ssh
undo telnet server enable四步加固对照
| 步骤 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 生成密钥 | rsa local-key-pair create | crypto key generate rsa | public-key local create rsa |
| 启用服务 | stelnet server enable | 默认即可用 | ssh server enable |
| 限制协议 | protocol inbound ssh | transport input ssh | protocol inbound ssh |
| 关闭 Telnet | undo telnet server enable | 限制 VTY 协议后即无法登录 | undo telnet server enable |
思科没有独立的 Telnet 开关，靠 line vty 下的 transport input ssh 把明文协议挡在门外，所以限制 VTY 协议这一步是思科侧的关键动作。生成密钥前必须先配域名，否则命令会被直接拒绝。
执行关闭 Telnet 与限制 VTY 协议之前，务必先用新窗口验证 SSH 能成功登录，并保留一个已登录的会话。改认证方式时把自己锁在门外的案例在实际运维里并不少见。
协议版本与加密算法同样要收紧：思科用 ip ssh version 2 限制版本，华为与 H3C 也有对应的 SSH 服务器参数可以限定认证方式与算法，具体可用范围以设备版本支持为准。整改完成后从管理网段复测一次端口，确认明文协议已无法访问。