在Cisco路由器上配置SSH服务

在cisco路由器 产品系列中只有 7200 系列、 7500 系列和 12000 系列（ GSR ）等高端产品的 IOS 支持 SSH 。一般支持 SSH 的 IOS 版本文件名中都带有 K3 或者 K4 字样， K3 代表 56bit SSH 加密， K4 代表 168bit SSH 加密。如我省省网 GSR 12016 和 12008 上用的 IOS 就是一个支持 56bit SSH 加密的版本。

目前 Cisco 的产品只支持 SSH-1 ，还不支持 SSH-2 。下面以 GSR 12008 为例详细介绍 SSH-1 的配置方法（斜体字为配置输入的命令）：

① 配置 hostname 和 ip domain-name ：
Router#configure terminal
Router(config)#hostname TEST-GSR12008

TEST-GSR12008(config)#ip domain-name jx.cn.net

② 配置登录用户名和密码（以本地认证为例）：
TEST-GSR12008(config)#username test password 0 test
注：添加一个用户： test ，口令： test
TEST-GSR12008(config)#line vty 0 4
TEST-GSR12008(config-line)#login local
在这两部分做完以后，用 show run 命令就能够看到：

hostname TEST-GSR12008
boot system flash gsr-k3p-mz.120-14.S.bin
enable secret 5 $1$DMyW$gdSIOkCr7p8ytwcRwtnJG.
enable password 7 094F 47C 31A 0A
username test password 7 0835495D1D
clock timezone PRC 16
redundancy
main-cpu
auto-sync startup-config
ip subnet-zero
no ip finger
ip domain-name jx.cn.net
ip name-server 202.101.224.68
ip name-server 202.101.226.68

③ 配置 SSH 服务：

TEST-GSR12008(config)#crypto key generate  rsa
The name for the keys will be: TEST-GSR12008.jx.cn.net
注： SSH 的关键字名就是 hostname + . +ip domain-name
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
a few minutes.
How many bits in the modulus [512]: 注：选择加密位数，用默认就行了
Generating RSA keys ...
[OK]
TEST-GSR12008(config)#end
TEST-GSR12008#write
Building configuration...
这时候用 show run 命令可以看到：
ip subnet-zero
no ip finger
ip domain-name jx.cn.net
ip name-server 202.101.224.68
ip name-server 202.101.226.68
ip ssh time-out 120
ip ssh authentication-retries 3
用命令 show ip ssh 也能看到：
SSH Enabled - version 1.5
Authentication timeout: 120 secs; Authentication retries: 3
现在 SSH 服务已经启动，如果需要停止 SSH 服务，用以下命令：
TEST-GSR12008(config)#crypto key zeroize  rsa

④ 设置 SSH 参数
配置好了 SSH 之后，通过 show run 命令我们看到 SSH 默认的参数：超时限定为 120 秒，认证重试次数为 3 次，可以通过下面命令进行修改：
TEST-GSR12008(config)#ip ssh {[time-out seconds]} | [authentication-retries interger]}
如果要把超时限定改为 180 秒，则应该用：
TEST-GSR12008(config)# ip ssh time-out 180
如果要把重试次数改成 5 次，则应该用：
TEST-GSR12008(config)# ip ssh authentication-retries 5
这样， SSH 已经在路由器上配置成功了，就能够通过 SSH 进行安全登录了。