美可琼杰1. 交换机SSH配置的必要性与基础概念
第一次接触企业级网络设备时，我被console线缆的物理连接方式震惊了——都2023年了居然还要用串口线？直到师傅演示了通过SSH远程管理交换机的操作，我才明白网络设备运维的正确打开方式。SSH（Secure Shell）作为替代Telnet的安全协议，已经成为网络设备管理的行业标准。
为什么SSH如此重要？三个核心原因：
- 加密传输：所有通信内容（包括密码）都经过加密，避免明文传输被嗅探
- 身份验证：支持密码和密钥双重认证机制
- 完整性校验：防止传输数据被篡改
以华为S5720和H3C S5130这两个典型的中端交换机为例，它们的SSH配置逻辑基本相同，但命令细节存在差异。实际运维中常遇到混合组网环境，掌握双厂商配置能显著提升工作效率。
注意：新出厂的交换机默认不开启SSH服务，首次配置仍需通过Console口连接。这是厂商的安全策略，避免设备裸奔上网。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 华为交换机SSH配置全流程
2.1 基础环境准备
以华为S5720-52X-SI为例，配置前需要确认：
- 设备已配置管理IP（通常是VLANIF接口）
- 时钟与时区已正确设置（SSH依赖时间证书）
- 至少有一个本地用户账号
bash复制# 查看当前IP配置
display ip interface brief
# 设置时区（中国东八区）
clock timezone CST add 08:00:00
2.2 关键配置步骤
华为VRP系统采用模块化配置思路：
bash复制# 1. 启用STelnet服务（华为的SSH实现）
stelnet server enable
# 2. 生成RSA密钥对（2048位是当前安全标准）
rsa local-key-pair create
The key name will be: Host
The range of public key size is (2048 ~ 2048).
Input the bits in the range: 2048
# 3. 配置用户认证方式
aaa
local-user admin password cipher Admin@123
local-user admin service-type ssh
local-user admin privilege level 15
# 4. 指定SSH用户认证方式
user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh
2.3 安全加固建议
生产环境中还需要：
- 修改默认SSH端口（避免22端口扫描）
bash复制
ssh server port 2222 - 启用SSH协议版本限制
bash复制ssh server compatible-ssh1x disable - 配置ACL限制访问源IP
bash复制acl 2000 rule permit source 192.168.1.100 0 rule deny source any ssh server acl 2000
实测坑点：华为部分老型号（如S5700）需要额外开启
ssh server-source -i Vlanif1指定源接口，否则可能连接失败。
3. H3C交换机SSH配置详解
3.1 配置逻辑差异
H3C Comware系统与华为VRP同源但存在语法差异，主要体现在：
- 密钥生成命令不同
- 用户权限分配方式不同
- 服务启用方式不同
3.2 具体配置命令
以H3C S5130-28P-PWR为例：
bash复制# 1. 生成非对称密钥（H3C使用DSA+RSA双算法）
public-key local create rsa
public-key local create dsa
# 2. 启用SSH服务
ssh server enable
# 3. 配置用户权限（H3C采用role-based授权）
local-user admin class manage
password cipher Admin@123
service-type ssh
authorization-attribute user-role level-15
# 4. 指定认证方式
line vty 0 15
authentication-mode scheme
protocol inbound ssh
3.3 排错技巧
当SSH连接失败时，按此顺序排查：
- 检查服务状态
bash复制
display ssh server status - 验证密钥是否存在
bash复制display public-key local rsa public - 查看用户权限
bash复制
display local-user
常见问题记录：
- 报错"Server authentication failed" → 密钥未生成或损坏，重新执行
public-key local create - 报错"Permission denied" → 用户未分配SSH权限，检查
service-type ssh配置 - 连接超时 → 检查ACL规则和VTY线路数是否已满
4. 双厂商配置的通用技巧
4.1 客户端工具选择
推荐三款经长期验证的SSH客户端：
- SecureCRT：支持会话管理、日志记录（但需要正版授权）
- MobaXterm：免费版即可满足日常需求（个人推荐）
- OpenSSH：Linux/macOS原生客户端（最轻量）
避坑指南：Putty在中文环境可能出现乱码，且不支持会话保存密码。Xshell有后门争议，企业环境慎用。
4.2 配置备份策略
建议每次修改后：
bash复制# 华为
save ssh-config.cfg
# H3C
save ssh-config.cfg
并通过TFTP/FTP备份到运维服务器，示例脚本：
bash复制#!/bin/bash
DATE=$(date +%Y%m%d)
tftp 192.168.1.100 <<EOF
put ssh-config.cfg ${HOSTNAME}_${DATE}.cfg
quit
EOF
4.3 批量管理方案
当设备超过20台时，建议使用：
- Ansible：通过playbook批量执行命令
yaml复制- name: 配置SSH参数 hosts: switches tasks: - name: 启用SSH服务 cli_command: command: "stelnet server enable" - Python+Paramiko：自定义管理脚本
python复制import paramiko ssh = paramiko.SSHClient() ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy()) ssh.connect('192.168.1.1', username='admin', password='Admin@123') stdin, stdout, stderr = ssh.exec_command('display current-configuration') print(stdout.read().decode())
5. 安全运维进阶实践
5.1 证书替代密码认证
更安全的做法是使用密钥对认证：
- 生成客户端密钥
bash复制
ssh-keygen -t rsa -b 4096 - 上传公钥到交换机（华为示例）
bash复制
rsa peer-public-key admin public-key-code begin 30819F300D06092A864886F70D010101050003818D0030818902818100D077... public-key-code end peer-public-key end ssh user admin assign rsa-key admin
5.2 会话审计方案
满足等保要求需记录所有SSH操作：
bash复制# 华为配置示例
info-center enable
info-center loghost 192.168.1.200 facility local6
user-interface vty 0 15
shell logging
5.3 高危端口防护
必须限制SSH等管理端口的外网访问：
bash复制# H3C ACL示例
acl number 2000
rule 0 deny tcp destination-port eq 22 source any destination any
interface GigabitEthernet1/0/1
packet-filter 2000 inbound
6. 典型问题解决方案
6.1 证书过期处理
华为设备RSA密钥默认有效期60天，续期方法：
bash复制# 查看有效期
display rsa local-key-pair public
# 重新生成密钥
undo rsa local-key-pair
rsa local-key-pair create
6.2 版本兼容问题
当客户端使用OpenSSH 8.8+时，需调整算法：
bash复制# 华为设备配置
ssh server cipher aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server key-exchange dh_group_exchange_sha256
6.3 连接数优化
解决"Too many connections"报错：
bash复制# 增加VTY线路数（H3C示例）
line vty 0 63
idle-timeout 20 0
经过三年跨厂商设备运维，我的终极建议是：为所有网络设备配置AAA服务器对接（如TACACS+），避免分散的用户账号管理。当某天凌晨3点需要紧急排查时，统一的认证体系能救命。