华为防火墙如何开启SSH端口？

Question

**问题：** 在华为防火墙设备上，如何正确配置以开启SSH端口，实现安全的远程管理？需要涉及哪些基本步骤，如生成密钥、配置VTY用户界面、绑定SSH服务等？是否需要额外配置ACL或防火墙策略以允许SSH流量？如何验证SSH服务是否成功启用？

Answer 1

一、概述：华为防火墙配置SSH服务的必要性与基本流程

在现代网络管理中，安全的远程访问是保障设备运维效率与安全性的关键。华为防火墙设备支持通过SSH（Secure Shell）协议进行加密远程管理，相较于传统的Telnet协议，SSH提供了更强的安全性。

在华为防火墙设备上开启SSH服务涉及多个关键步骤，包括密钥生成、用户界面配置、SSH服务绑定、以及必要的访问控制策略设置。以下将从基础配置到高级安全控制逐步展开。

二、基础配置：生成SSH密钥与启用SSH服务

在启用SSH服务之前，首先需要在防火墙上生成RSA或DSA类型的密钥对，用于后续的加密通信。

1. 进入系统视图：system-view
2. 生成RSA密钥对：rsa local-key-pair create
3. 启用SSH服务：ssh server enable

该阶段完成后，设备已具备运行SSH服务的基础条件，但尚未配置用户登录方式及访问控制。

三、用户管理：配置VTY用户界面与SSH绑定

为了实现用户通过SSH登录设备，需要配置虚拟终端（VTY）接口，并将其与SSH服务绑定。

1. 进入VTY用户界面：user-interface vty 0 4
2. 设置登录验证方式为AAA：authentication-mode aaa
3. 绑定SSH服务：protocol inbound ssh

同时，还需在AAA视图下创建本地用户，并为其分配SSH登录权限。

aaa
local-user admin password cipher Admin@123
local-user admin service-type terminal
local-user admin level 3
local-user admin ftp-directory flash:

四、访问控制：ACL与防火墙策略配置

尽管SSH服务已启用，但防火墙默认策略可能阻止外部访问。因此，必须配置ACL（访问控制列表）与安全策略以允许SSH流量。

1. 创建基本ACL，允许特定IP访问SSH端口（默认为22）：acl number 3000
2. 添加规则：rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 22
3. 在安全策略中调用该ACL，放行SSH流量。

此外，也可在防火墙策略中设置目的NAT（如非标准端口）或源NAT，以增强安全性与灵活性。

五、验证与调试：如何确认SSH服务已成功启用

完成上述配置后，需通过多种方式进行验证，确保SSH服务正常运行。

• 使用命令查看SSH服务状态：display ssh server status
• 查看当前连接的SSH会话：display ssh session all
• 尝试从客户端通过SSH工具（如SecureCRT、Xshell）连接设备进行测试。

若连接失败，可通过命令debugging ssh server session启用调试模式，分析连接失败原因。

六、进阶配置：增强SSH安全性与最佳实践

为提升SSH服务的安全性，建议进行如下配置：

配置项	说明
修改SSH默认端口	使用非标准端口（如2222）减少被扫描攻击的风险
限制SSH登录用户组	通过AAA配置仅允许特定用户组使用SSH登录
启用SSH版本2	使用更安全的SSHv2协议，禁用不安全的SSHv1

这些配置可进一步提升防火墙SSH服务的安全等级，防止未授权访问和暴力破解。

七、流程图：SSH服务配置流程示意

graph TD
      A[开始配置SSH] --> B[生成RSA密钥]
      B --> C[启用SSH服务]
      C --> D[配置VTY用户界面]
      D --> E[绑定SSH协议]
      E --> F[创建本地用户]
      F --> G[配置ACL允许SSH流量]
      G --> H[应用防火墙策略]
      H --> I[验证SSH连接]
      I --> J[结束配置]