1. 为什么你需要从Telnet转向SSH记得我刚入行做网络运维的时候Telnet几乎是所有老工程师的标配工具。直到有次公司内网被入侵攻击者就是通过抓取Telnet明文传输的管理员密码轻松拿下了核心路由器。那次事件后我花了整整一周时间把所有网络设备都迁移到了SSH协议。Telnet就像是用明信片寄送银行密码——所有信息都暴露无遗。它最大的问题是所有通信内容包括用户名密码都以明文传输任何能截获网络流量的人都能直接看到你的登录凭证。而SSH则像是给你的通信加了保险箱所有数据都经过加密处理即使被截获也无法直接读取。在实际企业环境中我建议所有新部署的思科设备都应该直接配置SSH。对于还在使用Telnet的老设备可以按照以下优先级进行迁移首先处理暴露在公网的设备其次是核心交换机和路由器最后是内部接入层设备注意思科IOS默认不启用SSH服务需要先完成一些基础配置才能使用SSH功能。2. Telnet基础配置与安全隐患虽然我们不推荐长期使用Telnet但了解它的配置方式对理解网络设备管理很有帮助。下面是一个典型的Telnet配置流程Router enable Router# configure terminal Router(config)# line vty 0 4 Router(config-line)# password telnet123 Router(config-line)# login Router(config-line)# transport input telnet Router(config-line)# end这段配置开启了5个虚拟终端会话0-4设置登录密码为telnet123并允许Telnet接入。配置完成后你就能用Telnet客户端连接路由器了。但这样配置存在几个严重问题密码明文存储show running-config时会直接显示密码无用户区分所有用户共用同一个密码无加密传输密码和所有命令都明文传输我曾用Wireshark做过实验在同一个局域网内抓取Telnet流量可以实时看到输入的所有命令和输出结果包括配置修改和密码变更操作。这种透明性对运维简直是灾难。3. SSH完整配置指南3.1 前期准备工作在配置SSH前需要确保设备满足几个基本条件Router enable Router# show version | include IOS Cisco IOS Software, 1841 Software (C1841-ADVIPSERVICESK9-M), Version 12.4(25b)关键要求IOS版本必须支持SSH通常是12.1(1)T及以后版本设备必须有主机名和域名SSH密钥生成必需需要配置本地用户名密码或AAA认证我建议先完成这些基础配置Router(config)# hostname Corp-Router Corp-Router(config)# ip domain-name company.com Corp-Router(config)# crypto key generate rsa生成RSA密钥时会提示输入密钥长度2048位是目前的安全标准。密钥生成后可以用show crypto key mypubkey rsa命令验证。3.2 完整SSH配置步骤下面是我在多个项目中验证过的最佳实践配置! 创建本地管理员账户 Corp-Router(config)# username admin privilege 15 secret Admin123 ! 配置SSH参数 Corp-Router(config)# ip ssh version 2 Corp-Router(config)# ip ssh time-out 60 Corp-Router(config)# ip ssh authentication-retries 3 ! 启用SSH访问 Corp-Router(config)# line vty 0 4 Corp-Router(config-line)# transport input ssh Corp-Router(config-line)# login local这样配置实现了强制使用SSHv2更安全的版本60秒无操作自动断开最多3次认证尝试使用本地用户数据库认证配置完成后可以用show ip ssh检查SSH服务状态用ssh -l admin 192.168.1.1从客户端测试连接。4. 高级安全加固技巧4.1 限制访问源IP在生产环境中我强烈建议限制允许SSH连接的源IP地址Corp-Router(config)# access-list 22 permit 192.168.1.100 Corp-Router(config)# access-list 22 deny any log Corp-Router(config)# line vty 0 4 Corp-Router(config-line)# access-class 22 in这样配置后只有192.168.1.100这个管理终端能发起SSH连接其他尝试都会被拒绝并记录日志。4.2 使用证书认证对于更高安全要求的场景可以配置证书认证替代密码! 生成CA证书 Corp-Router(config)# crypto pki trustpoint MY_CA Corp-Router(ca-trustpoint)# enrollment selfsigned Corp-Router(ca-trustpoint)# subject-name CNCorp-Router Corp-Router(ca-trustpoint)# rsakeypair 2048 ! 配置SSH使用证书 Corp-Router(config)# ip ssh pubkey-chain Corp-Router(ssh-pubkey-chain)# username admin Corp-Router(ssh-pubkey-chain-user)# key-hash ssh-rsa 0123456789ABCDEF证书认证彻底避免了密码被暴力破解的风险但管理成本较高适合有专业运维团队的企业。5. 运维中的常见问题排查即使正确配置了SSH实际使用中还是会遇到各种问题。以下是几个我遇到过的典型故障连接被拒绝检查ip ssh是否显示SSH已启用确认transport input包含ssh验证ACL没有阻止连接认证失败检查用户名密码是否正确确认用户权限级别足够查看show login failures记录连接超时调整ip ssh time-out值检查网络延迟和防火墙设置验证路由可达性有个特别隐蔽的问题我遇到过IOS版本漏洞导致SSH服务崩溃。解决方案是升级到推荐版本并配置ip ssh maxstartups限制并发连接数。6. 平滑迁移方案对于已经使用Telnet的环境我建议采用分阶段迁移策略并行运行期1-2周Corr-Router(config-line)# transport input telnet ssh同时允许两种协议给团队适应时间过渡期1个月Corr-Router(config-line)# transport input ssh telnet优先尝试SSH失败才用Telnet完全迁移Corr-Router(config-line)# transport input ssh彻底禁用Telnet在迁移过程中可以使用logging monitor和terminal monitor命令实时查看SSH登录日志及时发现配置问题。最后提醒一点修改配置后一定要测试从外网和内网不同位置的连接我曾经遇到过NAT设备过滤SSH流量的情况导致外网管理中断。现在我的检查清单里永远包含多位置连接测试这一项。