神州数码 DCN交换机 配置SSH方式登录

一、组网需求

1. PC通过SSH登录交换机并对其进行管理。

2. 分别应用本地认证和Radius+本地认证方式对用户名密码进行验证。

3. 只允许192.168.1.2/24这个IP或只允许192.168.1.0/24这个IP地址段的PC进行SSH登录。

二、组网图

PC机和交换机之间保证路由可达，PC机可以Ping通交换机的管理地址。

三、配置步骤

1. 登录到交换机，配置本地的用户名密码

switch>enable
switch#config terminal
switch(config)#ssh-user test password 0 test

注：IVY 6.1版本中，SSH用户名密码配置方式如下(6.1.x.x中SSH用户名密码也使用本地username)
switch(config)#username test privilege 15 password 0 test

2. 开启SSH功能，并配置验证方式

开启SSH功能（首次开启时会制作加密密钥，会有一小段时间无法继续输入命令）
switch(config)#ssh-server enable

注：下面的验证方式需要IVY 6.1版本支持（6.0.x.x版本中，SSH登录限制只由ssh-user控制）

本地验证
switch(config)#authentication line vty login local

Radius + 本地验证
switch(config)#authentication line vty login radius local

注：开启Radius + 本地验证，需要根据现场情况配置Radius-Server参数，具体配置见本手册“安全认证功能配置”部分的描述。

3. 配置允许SSH管理交换机的地址限制（单独IP 或 IP地址段） *需要IVY 6.1版本才能支持*

限制单个IP允许Telnet登录交换机
switch(config)#authentication securityip 192.168.1.2

限制允许IP地址段Telnet登录交换机
switch(config)#access-list 1 permit 192.168.1.0 0.0.0.255
switch(config)#authentication ip access-class 1 in

四、配置关键点

1. 对于三层交换机，可以有多个三层虚接口，它的管理Vlan可以是任意一个具有三层接口并配置了IP地址的Vlan。而二层交换机，只有一个二层虚接口，它的管理Vlan即是对应的三层虚接口并配置了IP地址的Vlan。