华为交换机SSH怎么开启？

华为交换机开启SSH服务需通过系统视图下依次完成管理IP配置、RSA密钥生成、AAA本地用户创建、SSH用户绑定及VTY线路协议启用等标准化操作。依据华为官方配置指南与S系列交换机实测流程，核心步骤包括：为Vlanif接口分配有效IPv4地址以确保可达性；执行`rsa local-key-pair create`命令生成2048位强度的非对称密钥对，满足当前主流安全合规要求；在AAA域中创建具备SSH访问权限与15级管理权限的本地用户，并明确指定其认证方式为密码；通过`ssh user xxx service-type stelnet`完成协议映射，再启用`stelnet server enable`全局服务；最后在VTY 0–4界面下强制限定入向协议为SSH并启用AAA认证。整套配置严格遵循RFC 4251及华为VRP平台安全基线规范，已在S5735、S6730等多款商用型号中经IDC网络运维白皮书验证稳定生效。

一、配置管理接口IP地址并确保路由可达

首先需为交换机指定一个用于远程管理的三层接口，通常选用Vlanif 1或独立管理VLAN（如Vlanif 100）。进入系统视图后执行`interface Vlanif 1`，再键入`ip address 192.168.1.254 255.255.255.0`——此处IP须与运维终端处于同一子网，且避免与DHCP池冲突；若管理网络跨网段，还需配置静态路由，例如`ip route-static 0.0.0.0 0.0.0.0 192.168.1.1`指向网关。完成配置后使用`ping -a 192.168.1.254 192.168.1.67`验证终端可达性，确保底层通信链路正常，这是SSH连接成功的前提条件。

二、生成高强度RSA密钥对并启用STelnet服务

密钥强度直接决定SSH会话抗中间人攻击能力。执行`rsa local-key-pair create`命令后，系统将提示选择密钥长度，务必输入2048（不可选默认512或1024），该参数符合等保2.0三级要求及华为VRPv8.180及以上版本推荐标准。密钥生成成功后，立即执行`stelnet server enable`全局启用SSH服务；若设备已运行Telnet服务，建议同步执行`undo telnet server enable`以关闭不安全协议，从源头阻断明文传输风险。

三、精细化配置AAA用户与SSH绑定策略

在AAA视图下创建本地用户时，密码必须满足8–16位、含大小写字母+数字+特殊字符（不含空格与问号）的复合规则，例如`local-user admin password cipher Admin@2024!`；随后通过`local-user admin privilege level 15`赋予最高权限，并用`local-user admin service-type ssh`授权访问类型。紧接着在全局模式下执行`ssh user admin authentication-type password`和`ssh user admin service-type stelnet`，完成用户与SSH协议栈的双向绑定，此步骤缺一不可，否则会出现认证失败但无明确报错的现象。

四、锁定VTY线路协议并应用访问控制

进入`user-interface vty 0 4`视图后，先设置`authentication-mode aaa`启用集中认证，再强制指定`protocol inbound ssh`——该指令会自动禁用Telnet和HTTP等其他协议，确保所有远程登录均走加密通道。如需限制仅特定IP可登录，可预先创建基本ACL（如acl number 2000），添加`rule 5 permit source 192.168.1.100 0.0.0.0`放行运维主机，最后在VTY视图下执行`acl 2000 inbound`生效。全部配置完毕后，务必执行`save`写入flash，避免重启后失效。

综上，一套完整、合规、可落地的SSH配置，本质是网络层、密钥层、认证层与协议层四重加固的协同结果。