华为交换机SSH安全配置怎么做？

华为交换机SSH安全配置的核心在于构建多层防御体系，通过认证强化、访问控制、端口收敛与源接口限定四大维度协同防护。具体而言，需优先启用RSA 2048位及以上非对称密钥认证替代弱密码登录，结合ACL精确限制仅授权管理IP段（如10.1.1.1/32）可发起SSH连接；同步将默认22端口更改为55535等私有端口号，并强制指定Loopback0作为SSH服务唯一响应接口，避免暴露物理接口风险；在完成配置后，务必执行undo telnet server enable关闭明文协议，并通过ssh server-source -i命令固化源接口策略。所有操作均基于华为VRP平台V200R020C00及以上版本官方文档规范实施，符合等保2.0三级要求中关于远程管理通道加密与访问最小化原则。

一、认证方式升级：强制启用RSA非对称密钥认证

华为交换机默认支持密码与RSA双认证模式，但密码认证易受暴力破解威胁。必须在系统视图下执行ssh user testuser authentication-type rsa命令，并确保已通过rsa local-key-pair create生成2048位或更高强度的本地密钥对。该操作需在设备空闲时段完成，因密钥生成过程消耗CPU资源约30–60秒。生成后需验证密钥有效性：display rsa local-key-pair public可查看公钥指纹，管理员须将该公钥安全分发至运维终端，并在客户端配置对应私钥；此后该用户仅能通过密钥登录，密码字段自动失效，彻底阻断字典攻击路径。

二、访问控制精细化：ACL绑定VTY通道实现IP白名单

单纯依赖账号密码或密钥仍存在横向渗透风险，必须叠加网络层过滤。以标准ACL 2000为例，需在系统视图中逐条配置rule permit source 10.1.1.1 0（允许单IP）或rule permit source 192.168.10.0 0.0.0.255（允许网段），严禁使用rule deny source any。配置完成后进入user-interface vty 0 4视图，执行acl 2000 inbound指令，使策略生效于所有远程登录通道。特别注意：ACL规则顺序不可颠倒，且必须置于VTY视图下而非全局策略中，否则无法拦截SSH连接握手阶段的数据包。

三、端口与源接口双重收敛：规避扫描暴露面

将SSH服务端口从22更改为55535后，需同步更新防火墙策略及客户端配置。更重要的是，V200R020C00及以上版本默认禁用全部接口响应，必须显式执行ssh server-source -i loopback 0——该LoopBack0接口须提前配置有效IPv4地址（如127.0.0.1/32），且不得使用物理接口名称。此举确保SSH服务仅响应来自本机逻辑环回地址的连接请求，外部攻击者即使扫描到开放端口，也无法通过任意物理接口建立TCP三次握手。

四、协议清理与配置固化：关闭明文通道并持久化策略

最后执行undo telnet server enable彻底禁用Telnet服务，并在退出前运行save命令保存全部配置。建议通过display ssh server status验证SSH状态为“running”，同时检查display acl 2000确认规则命中计数器为零（说明无非法尝试）。全部配置完成后，应使用非授权IP发起连接测试，验证其被静默丢弃而非返回拒绝提示，符合最小信息泄露原则。

综上，华为交换机SSH安全配置是一套环环相扣的技术闭环，每一步都需严格遵循VRP平台操作规范，缺一不可。