SSH 版本与算法加固
SSH 加固最常见的整改项是锁定到 SSHv2 并裁剪弱算法（例如 3DES、SHA1）：默认配置在部分版本里仍允许 SSHv1 或保留弱算法，安全扫描会直接报高危。三厂都支持显式锁定版本并枚举允许的加密与校验算法，思路一致，命令形态不同。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware |
|---|---|
| 华为 | undo ssh server compatible-ssh1x enable 关闭 SSHv1 兼容 |
| 思科 | ip ssh version 2 配合 ip ssh server algorithm |
| H3C | ssh server version 2.0 配合 ssh2 algorithm |
典型使用场景
- 安全扫描报告中的 SSH 弱算法整改
- 等保与合规基线的安全配置落地
- 新设备上线的安全配置模板
- 排查客户端无法登录，原因是算法裁剪过度
- 老旧网管与跳板工具的兼容性评估
华为 VRP
华为 VRP
[Huawei] undo ssh server compatible-ssh1x enable # 关闭 SSHv1 兼容
<Huawei> display ssh server status
! 新版本另有 ssh server cipher 与 hmac 类算法选择命令思科 IOS
思科 IOS
SW-CORE-01(config)# ip ssh version 2
SW-CORE-01(config)# ip ssh server algorithm encryption aes256-ctr aes192-ctr
SW-CORE-01(config)# ip ssh server algorithm mac hmac-sha2-256
SW-CORE-01# show ip sshH3C Comware
H3C Comware
[H3C] ssh server version 2.0
[H3C] ssh2 algorithm cipher aes256-ctr aes128-ctr
[H3C] ssh2 algorithm mac hmac-sha2-256
<H3C> display ssh server status三厂加固对照
| 加固项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 锁定版本 | undo ssh server compatible-ssh1x enable | ip ssh version 2 | ssh server version 2.0 |
| 加密算法 | ssh server cipher 类命令 | ip ssh server algorithm encryption | ssh2 algorithm cipher |
| 校验算法 | ssh server hmac 类命令 | ip ssh server algorithm mac | ssh2 algorithm mac |
| 验证命令 | display ssh server status | show ip ssh | display ssh server status |
华为是开关式（compatible-ssh1x 兼容开关），思科与 H3C 可以枚举算法清单。无论哪种形态，加固目标一致：协议锁到 SSHv2，禁用 3DES 与 SHA1 一类弱算法。
裁剪算法前先确认网管、跳板机与自动化工具都支持保留的算法，改完可能直接无法登录。变更前保留一个已登录会话，改完后立即用新会话验证，不要等下次登录才发现问题。
算法加固属于安全基线的一部分，建议与口令策略、登录声明、日志外发等条目一起纳入设备配置模板：单独整改某一项时，往往在下一批设备上线时被遗漏，导致基线长期不统一。
加固完成之后用扫描工具或客户端的详细输出复核实际协商结果：判断依据是客户端实际协商到的算法，而不是设备上的配置行，这样才能确认弱算法真的已经不再被使用。