SSH命令详解

在Cisco Native IOS上启用SSH，禁止Telnet命令描述username admin1 privilege 15 password 0 Admin-Password建立一个叫做admin1的系统管理员，每一个管理都必须重复。aaa new-model使用一个本地数据库，设置为AAA模式aaa authentication login default localaaa authorization exec default localaaa authorization network default localaaa session-id commonip domain name MyDomain.com建立一个用于认证的名字crypto key generate rsa建立数字证书。使用至少768位的Diffie-Hellman关键字line vty 0 4进入vty配置transport input ssh仅仅允许SSH登录

 在Cisco Native IOS上启用SSH，禁止Telnet 
命令 描述 
username admin1 privilege 15 password 0 Admin-Password 建立一个叫做admin1的系统管理员，每一个管理都必须重复。 
aaa new-model 使用一个本地数据库，设置为AAA模式 
ip domain name MyDomain.com 建立一个用于认证的名字 
crypto key generate rsa 建立数字证书。使用至少768位的Diffie-Hellman关键字 
line vty 0 4 进入vty配置 
transport input ssh 仅仅允许SSH登录

cisco SSH配置

注： 我在交换机上设置了以后，ssh可以正常登录没问题，但是telnet却仍然可以登录，检查后发现是因为配置文件里多了一行

#line vty 5 15

我在命令行里删除 # no line vty 5 15   报错 Can't delete last 16 VTY lines，无法删除vtp 5-15,在查了以后找到解决办法，就是把line vty 5 15,设置成

no transport input ssh

这样，telnet就无法登录了，嘎嘎！！！！！

cisco SSH配置
1. 配置hostname和ip domain-name
Router#configure terminal
Router(config)#hostname R2 //配置ssh的时候路由器的名字不能为router
R2(config)#ip domain-name cisco.com   //配置SSH必需  
   
R2(config)#username best password best1
或  username best privilege 15 password 7 best1
注：添加一个用户：best，口令：best1
R2(config)#line vty 0 4
R2(config-line)#transport input ssh      //只允许用SSH登录(注意：禁止telnet和从
交换引擎session!)
2. 配置SSH服务：
R2(config)#crypto key generate rsa
The name for the keys will be: R2.cisco.com
注：SSH的关键字名就是hostname + . +ip domain-name
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
a few minuts
How many bits in the modulus [512]: 注：选择加密位数，cisco推荐使用1024
Generating RSA keys ...
[OK]
用命令show ip ssh也能看到：
SSH Enabled - version 1.5
Authentication timeout: 120 secs; Authentication retries:
现在SSH服务已经启动，如果需要停止SSH服务，用以下命令：
R2(config)#crypto key zeroize rsa
3.设置SSH参数
配置好了SSH之后，通过show run命令我们看到SSH默认的参数：超时限定为120秒，认证重试次数为3次，可以通过下面命令进行修改：
R2(config)#ip ssh {[time-out seconds]} │ [authentication-retries interger]}
如果要把超时限定改为180秒，则应该用：
R2(config)# ip ssh time-out 180
如果要把重试次数改成5次，则应该用：
R2(config)# ip ssh authentication-retries
这样，SSH已经在路由器上配置成功了，就能够通过SSH进行安全登录了。
注意：最后如果从别的设备用ssh登录这台路由器会出现以下内容：
R1#ssh -l best 192.168.0.2
Password:
R2>en
% Error in authentication.
为什会出现以上内容？
因为在R2上没有配置enable password/secret xxxx
R2配置上enable secret 5 $1$fJxo$suWiTzmfdj/vkvXfRHBcw/
那么在R1上：
R1#ssh -l best 192.168.0.2
Password:
R2>en
Password:
R2#confi g
         ^
% Invalid input detected at '^' marker.
Ok实验完成！