H3C开启SSH服务器配置，核心就三步
H3C设备开启SSH服务器，本质上就是生成密钥、启用SSH服务、配置VTY用户认证这三步，缺一不可。 整个过程在命令行下完成，熟练的话五分钟内能搞定，如果你是刚接手H3C设备、或者从思科华为转过来的网工，这篇文章按实际敲命令的顺序给你捋一遍,看完直接照做就行。
很多人问”h3c怎么开启ssh服务器配置”，网上教程版本混乱，其实不分Comware V5还是V7，核心流程一致，下面从零开始,包含我实际调试中踩过的坑。
配置前的准备工作：三条必查项
动手之前，建议先确认三件事,省得配置到一半发现连不上。
- 设备SSH版本：H3C设备目前主流是Comware V7，老设备可能是V5，V7命令更简洁，V5有些参数名字不同，但整体框架一样，登录设备后敲
display version看版本信息,确认运行的是哪个版本。 - 管理IP可达：你的电脑能ping通设备的管理地址，SSH是基于TCP 22端口的，网络不通后面全白搭，建议直接在设备上敲
display ip interface brief确认接口IP已经配上。 - 登录账号密码：至少得有一个本地用户，没账号的话，SSH登上来也没身份可用，后面配置用户时会创建,但可以先想好用户名和密码。
这三项确认完，基本就能开始敲命令了，千万别跳过，尤其是版本检查,V5和V7的命令细节差异会让新手卡壳。
H3C开启SSH服务器配置的完整命令流程
以下步骤基于Comware V7平台，绝大多数现网设备适用,V5设备用户把命令对照调整即可。
第一步：生成本地RSA密钥对
SSH登录需要设备端有一对RSA密钥，用于加密会话和身份验证,这是整个配置的起点。
system-view public-key local create rsa
敲完回车后，系统会提示输入密钥长度。推荐选择2048位，1024位现在安全性偏弱，很多安全审计过不了，生成过程可能需要十几秒，设备会有进度显示,耐心等它结束。
需要注意的是，如果设备上已经存在RSA密钥对，系统会提示是否覆盖，老设备重新配置时选Y覆盖就行,不影响现有业务。
第二步：开启SSH服务器功能
密钥生成后，接下来就是让设备”开口”提供SSH服务。
ssh server enable
这条命令执行完，设备就开始监听TCP 22端口，可以用display ssh server status查看服务状态,确认SSH服务已经运行。
有些型号还支持ssh server port指定其他端口，默认端口22，除非安全策略要求，不建议改，改了端口后续所有客户端连接都要带端口号,排查问题时多一层麻烦。
第三步：创建本地用户并配置认证方式
SSH服务起来了，但还需要一个能登录的用户，这一步容易出错,很多新手在这里卡住。
local-user admin class manage password simple Admin@123 service-type ssh authorization-attribute user-role network-admin quit
逐条解释下：
local-user admin class manage：创建名为admin的管理类用户，V7版本管理用户必须带class manage,否则后面授权角色会不生效。password simple Admin@123：设置明文密码，生产环境建议用cipher密文存储，但命令行输入时simple更直观,设备会自动转换存储方式。service-type ssh：指定该用户仅用于SSH服务，如果不加这条,用户无法通过SSH登录。authorization-attribute user-role network-admin：赋予网络管理员角色。这一步非常关键，没有角色授权的用户登录后没有任何操作权限,等于白配。
第四步：配置VTY虚拟终端，允许SSH接入
用户和服务都有了,最后一步是让虚拟终端通道放行SSH会话。
user-interface vty 0 63 authentication-mode scheme protocol inbound ssh quit
这里authentication-mode scheme表示登录认证走本地用户数据库（就是我们刚创建的admin用户），protocol inbound ssh指定该VTY通道只接受SSH协议连接。
注意：protocol inbound ssh配置后，Telnet默认就被禁用了。 如果你还需要Telnet备用，可以改成protocol inbound all，但生产环境建议只开SSH,少一个入口少一份风险。
第五步：保存配置并验证SSH登录
配置完成后，别急着关终端,先保存再验证。
save force
然后从你的电脑上用SSH客户端连接设备：
ssh admin@192.168.1.1
输入密码后如果能正常进入系统视图，说明配置已经生效，这里有个小细节：第一次连接时客户端会提示确认设备指纹，核对一下屏幕上显示的密钥指纹和你生成时的一致,能有效防中间人攻击。
常见问题排查：SSH连不上怎么办
配置命令都敲完了，但SSH还是连不上？从实际经验来看，90%以上是以下几个原因。
VTY配置正确但仍提示拒绝连接
检查一下user-interface vty的编号范围，V7默认支持vty 0 63，如果你只配置了vty 0 4，而SSH连接被分配到后面的VTY通道，就会直接拒绝。建议直接配vty 0 63，省心。
用户有权限但登录后提示错误
service-type ssh和authorization-attribute user-role network-admin两条命令缺一不可，只配了密码没配服务类型，或只配了用户名没配角色，登录都会失败,逐条对照检查。
SSH服务已开启但端口不通
从电脑上执行telnet 192.168.1.1 22测试端口连通性，如果端口不通，检查设备侧的安全策略或ACL是否放行了TCP 22。很多现场防火墙策略默认只放行Telnet 23端口，SSH 22被拦截的情况相当常见。
密码正确但反复要求输入
密码正确但一直循环认证？检查用户密码是否设置了有效期，或者账户是否被锁定。display local-user可以查看用户状态,被锁定时清零即可。
H3C SSH配置中的安全加固建议
配置能跑通只是第一步，真正上线使用还得做安全加固，以下几条是行业共识认为必须做的,尤其是设备暴露在公网环境的情况下。
- 禁用密码登录，改用密钥认证：H3C支持
public-key认证方式，把客户端的公钥导入设备，SSH登录时免密且更安全，配置位置在user-interface vty下，将authentication-mode改为scheme后,在用户视图绑定密钥即可。 - 限制SSH访问源地址：通过ACL限定只有特定管理网段能访问SSH端口,配置示例：
acl basic 2000 rule 5 permit source 192.168.100.0 0.0.0.255 rule 10 deny quit ssh server acl 2000
- 修改默认管理端口：虽然前面不建议改，但如果你的设备暴露在互联网上，改掉默认22端口能屏蔽掉大部分扫描流量,注意需要在客户端连接时指定新端口。
- 配置登录超时和重试限制：防止暴力破解,设置SSH会话空闲超时和认证失败次数限制：
user-interface vty 0 63 idle-timeout 5 0 ssh server authentication-timeout 10 ssh server failed-times 3
H3C与思科华为的SSH配置横向对比
很多网工是从其他厂商设备转到H3C的，对比一下命令差异,能帮你更快上手。
| 配置项 | H3C Comware V7 | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 生成密钥 | public-key local create rsa |
rsa local-key-pair create |
crypto key generate rsa |
| 开启服务 | ssh server enable |
stelnet server enable |
ip ssh version 2 |
| VTY认证 | authentication-mode scheme |
authentication-mode aaa |
login local |
| SSHVTY通道 | protocol inbound ssh |
protocol inbound ssh |
transport input ssh |
| 用户角色 | authorization-attribute user-role |
local-user privilege level |
privilege level 15 |
核心逻辑一模一样，只是命令关键词不同。 华为的stelnet是SSH服务的别名，思科的transport input控制VTY协议，但配置顺序都是”密钥→服务→用户→VTY”，熟悉任何一家的逻辑,换到H3C上只是查命令差异的问题。
H3C ssh服务器配置和telnet配置的区别
这是个高频问题，很多人在配置时纠结为什么不用Telnet,简单说两点：
安全层面，Telnet明文传输，用户名密码和配置内容在网络上裸奔，抓包就能看到，SSH全程加密，即使流量被截获也无法还原内容。凡是要过公网或不可信网络的设备管理，行业共识认为必须用SSH。
配置层面，Telnet不需要生成密钥、不需要配置协议通道，三个命令就能跑起来，但代价是安全性为零，H3C的新设备固件默认禁用了Telnet服务，你必须手动开启才能用。从Comware V7开始，H3C已经默认只开启SSH服务，Telnet需要额外配置，这也侧面说明了方向。
Q&A：关于H3C SSH配置的高频疑问
H3C交换机配置SSH后，原来的Telnet还能用吗？
如果你在VTY下执行了protocol inbound ssh，Telnet会被直接禁用，需要两者共存时改为protocol inbound all，但这样配置后设备同时开放23和22端口，除非有特殊兼容需求，否则建议只用SSH，若网络环境必须保留Telnet，建议用ACL限制Telnet的源地址,尽量缩小暴露面。
老版本的H3C设备（如Comware V5）配置SSH有什么区别？
V5版本的配置框架一致，但有三处命令差异：密钥生成命令为public-key local create rsa，SSH服务开启命令为ssh server enable，用户配置中的角色授权写法略不同，核心区别在于V5对RSA密钥长度最高支持1024位，这是老平台的限制，实际配置时先查display version确认平台版本，再对照命令手册操作，V5设备若无法生成2048位密钥,建议评估设备升级或替换方案。
H3C SSH配置完成后，如何验证是否真的安全？
验证分三步：第一步，用抓包工具（如Wireshark）在管理网段抓取SSH会话流量，确认所有数据包均为加密状态，看不到明文用户名密码，第二步，检查设备配置审计日志，确认没有遗留的password simple明文记录，第三步，从设备外网接口尝试SSH连接，确认ACL限制规则已生效，未授权的源IP无法访问。这三步做完，SSH服务的安全性基本有保障了。
SSH配置本身是个熟练活，多敲几次就形成肌肉记忆了，H3C的命令风格和华为高度相似，你如果之前配过华为设备，上手会非常快，重点是记住”密钥→服务→用户→VTY”这个顺序，任何一步没做对都会导致登录失败，配置过程中遇到问题，先在设备上执行display ssh server status和display local-user看看状态,大多数问题能从输出里找到线索。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/789754.html
