SSH 上线四件套
SSH 上线要办四件事：生成密钥、开启服务、配置用户与认证方式、限制 VTY 只接受 SSH。三家的命令结构差异明显，缺任何一步都会表现为连不上，或者服务开了但明文入口依然敞着。
基本信息
| 适用平台 | 三厂设备 |
|---|---|
| 华为命令 | rsa local-key-pair create + stelnet server enable + protocol inbound ssh |
| 思科命令 | ip domain-name + crypto key generate rsa + transport input ssh |
| H3C 命令 | public-key local create rsa + ssh server enable + protocol inbound ssh |
| 认证接入 | 华为 aaa / 思科 login local / H3C scheme |
| 版本限制 | 思科 ip ssh version 2 |
典型使用场景
- 新设备开局配置加密管理通道
- 从 Telnet 迁移到 SSH 登录
- 排查 SSH 服务已开却连不上的问题
- 迁移时把一家的命令结构翻译成另一家
- 加固审计时核对四件套是否完整
华为 VRP
华为 VRP
rsa local-key-pair create # 第一步：生成密钥
stelnet server enable # 第二步：开启 SSH 服务
ssh user admin authentication-type password
user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh # 第四步：只接受 SSH
display ssh server status思科 IOS 与 H3C
思科 IOS 与 H3C
ip domain-name example.com # 生成密钥前必须先配域名
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
login local
transport input ssh
show ip ssh
# H3C Comware
public-key local create rsa
ssh server enable
line vty 0 4
authentication-mode scheme
protocol inbound ssh
display ssh server status四步命令对照
| 步骤 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 生成密钥 | rsa local-key-pair create | crypto key generate rsa | public-key local create rsa |
| 启用服务 | stelnet server enable | 默认可用 | ssh server enable |
| 认证模式 | authentication-mode aaa | login local | authentication-mode scheme |
| 限制协议 | protocol inbound ssh | transport input ssh | protocol inbound ssh |
四件套缺一不可：只开服务不限制协议，明文入口仍在；只限制协议不建用户，SSH 能连上却登录失败。排查连接问题时按这四步逐项核对，比反复试密码有效得多。
思科生成密钥前必须先有主机名与域名，否则命令会被直接拒绝。这是跨厂迁移文档里最常被省略的前置条件，现场遇到时先补齐这两项再重试。
用户认证与 VTY 协议是两件独立的事：前者决定谁能登录，后者决定能用什么协议登录。审计时两项都要看，只查其中一项容易漏掉明文入口或残留账号。
连接失败时把排查顺序固定下来：先确认密钥已生成，再确认服务已启用，然后核对用户与认证方式，最后检查 VTY 是否放开 SSH 协议。四步之外还要确认中间策略放行了管理网段到 22 端口，网络侧的阻断经常被误判成设备配置问题。