设备还开着明文远程管理？华为SSH服务器安全加固配置要点
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
设备远程管理用明文协议，账号密码在网上裸奔，是内网安全检查里最容易被抓的问题。换成SSH是标配动作，但很多设备开了SSH就算完事——端口号还是默认的、算法列表一大堆老的、密钥几年不换，隐患一样不少。这里把华为设备SSH服务器功能与安全参数的配置要点串起来讲，适合作为一次加固作业的清单。
SSH服务器配置包括本地密钥对生成、SSH服务器功能开启以及服务器参数配置：端口号、密钥对更新时间、认证超时时间或认证重试次数等。加固思路按四步走：生成密钥对、开启公钥算法与服务、改掉默认端口、收紧密钥交换算法。几个官方基线先记下：建议定期修改密钥；不建议使用小于3072位的RSA算法作为SSH用户的认证方式，建议使用更安全的ECC认证算法；SSH服务器不支持兼容SSH1.X版本。
第一步，生成密钥对。以ECC为例（RSA、DSA命令结构相同）：
system-view
ecc local-key-pair create
也可以生成带标签的密钥对，方式二可以生成最多20对密钥对，在不同时期轮换使用：
ecc key-pair label label-name [ modulus modulus-bits ]
第二步，开启SSH服务器公钥算法。缺省情况下ECC、RSA_SHA2_256、RSA_SHA2_512公钥算法是开启的，dsa、rsa和x509v3-ssh-rsa参数需要安装弱安全算法/协议特性包（WEAKEA）后才能使用：
ssh server publickey { dsa | ecc | rsa | x509v3-ssh-rsa | rsa_sha2_256 | rsa_sha2_512 | sm2 | x509v3-rsa2048-sha256 | x509v3-ecdsa-sha2 | sm2-sm3 } *
第三步，开启需要的SSH服务。设备可作为STelnet、SFTP、SCP服务器，按需开启，缺省均为关闭状态：
stelnet [ ipv4 | ipv6 ] server enable
sftp [ ipv4 | ipv6 ] server enable
第四步，修改SSH服务器端口号，避开默认22端口。缺省情况下SSH服务器端的端口号是22；配置新端口后，服务器先断开当前已建立的所有SSH连接再使用新端口，能有效防止攻击者对标准端口的访问：
ssh [ ipv4 | ipv6 ] server port port-number
第五步，收紧密钥交换算法。缺省情况下使用curve25519_sha256、dh_group16_sha512、dh_group_exchange_sha256，建议使用安全性更高的curve25519_sha256、ecdh_sha2_nistp521、ecdh_sha2_nistp384和ecdh_sha2_nistp256：
ssh server key-exchange { dh_group_exchange_sha256 | dh_group_exchange_sha1 | dh_group1_sha1 | ecdh_sha2_nistp256 | ecdh_sha2_nistp384 | ecdh_sha2_nistp521 | sm2_kep | dh_group14_sha1 | dh_group16_sha512 | curve25519_sha256 | sm2_sm3 } *
另外，keepalive特性缺省开启，建议保持（undo ssh server keepalive disable），防止客户端收不到响应时反复重连浪费服务器资源。
配好怎么验证：用新的端口号和加固后的算法从管理机发起SSH连接，能正常登录即协商成功；用旧端口或刻意用弱算法连接应该失败。还可以执行display rsa local-key-pair public、display ecc local-key-pair public等命令核对密钥对信息，并检查密钥重协商参数——缺省满足传输1000兆字节、报文个数达到阈值或连接时长60分钟任一条件就触发重协商。远程管理入口是攻击者的门，门锁装厚一点永远值得，欢迎搜索关注贵州诚鑫致达科技，获取更多网络设备安全加固清单。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。