针对华为数通设备远程运维场景，本文以S5700系列交换机为例，详细讲解SSHv2协议配置全流程，涵盖VRP5/VRP8双版本命令差异，并附赠排错指南。

一、为什么必须启用SSH协议？

Telnet之殇：明文传输风险（数据包可被抓取密码）

SSH核心优势：

AES加密算法保障通信安全

基于密钥的身份验证机制

合规性要求（等保2.0明确要求）

典型应用场景：远程设备维护/自动化运维/第三方代维接入

二、华为交换机SSH配置六步法（图文版）

步骤1：基础环境搭建

创建管理VLAN并分配IP（VRP8示例）

sys

vlan 100

description Management_VLAN

interface Vlanif100

ip address 192.168.1.254 24

quit

配置接口加入VLAN（以G0/0/24为例）

interface GigabitEthernet0/0/24

port link-type access

port default vlan 100

配置接口加入VLAN（以G0/0/24为例）

interface GigabitEthernet0/0/24

port link-type access

port default vlan 100

```

步骤2：生成RSA密钥对（安全加固关键）

VRP5与VRP8差异注意！

[VRP5] rsa local-key-pair create #老版本命令

[VRP8] ssh key generate rsa #新版本命令

建议2048位密钥长度

Modulus size [2048]: 直接回车确认

步骤3：创建SSH管理账号

创建高级别管理员账号

aaa

local-user admin privilege level 3

local-user admin service-type ssh

local-user admin password irreversible-cipher Huawei@1234

步骤4：配置SSH服务参数

强制使用SSHv2协议

stelnet server enable

ssh user admin authentication-type password

ssh user admin service-type stelnet

ssh server compatible-ssh1x disable #禁用老旧协议

步骤5：VTY终端接入配置

user-interface vty 0 4

authentication-mode aaa

protocol inbound ssh #关键配置！勿错配为telnet

idle-timeout 15 0 #设置超时时间

步骤6：防火墙策略放行（容易被忽视）

创建ACL允许管理网段访问

acl 3000

rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 22

三、客户端连接验证（Windows/Linux双平台）

Windows使用Xshell：

新建会话→协议选SSH→IP地址填入交换机管理IP

首次连接需接受指纹（SHA256校验）

Linux使用OpenSSH:

ssh admin@192.168.1.254 -p 22

输入密码Huawei@1234

四、高频故障排查指南（附解决方案）

故障1：Connection refused

检查点：

1. display ssh server status 查看服务状态

2. 确认VTY线路绑定SSH协议

3. 防火墙是否放行TCP 22端口

故障2：Password authentication failed

排查步骤：

1. display local-user 查看账号状态

2. 确认密码加密方式是否为irreversible-cipher

3. AAA认证模式是否正确绑定

故障3：协议版本不兼容

解决方案：

查看当前支持协议版本

display ssh server

若需临时降级（不建议长期使用）

ssh server compatible-ssh1x enable

五、SSH安全增强最佳实践

1. 定期更换密钥：每季度执行 ssh key delete rsa 后重新生成

2. 启用ACL白名单：限制SSH访问源IP地址

3. 审计日志监控：通过 info-center 记录SSH登录事件

4. 双因素认证：结合Ukey或Radius服务器实现

扩展阅读：华为官方SSH配置手册可访问技术支持官网](https://support.huawei.com)获取最新安全配置指南。

您在配置SSH时遇到过哪些奇葩故障？欢迎评论区留言讨论！