问您个问题，怎样通过TCP传输dsa的公钥和密钥呀

来源：蜘蛛抓取(WebSpider) 时间：2019-07-13 10:48 标签： dsa怎么做

华为采用机器翻译与人工审校相結合的方式将此文档翻译成不同语言希望能帮助您更容易理解此文档的内容。 请注意：即使是最好的机器翻译其准确度也不及专业翻譯人员的水平。 华为对于翻译的准确性不承担任何责任并建议您参考英文文档（已提供链接）。

通过SFTP进行文件操作

SFTP使得用户可以从远端咹全的登录设备进行文件管理增加了数据传输的安全性。

随着设备的逐步稳定应用范围在不断扩大，设备升级的范围也越来越大设備的可维护性要求也越来越高，特别是设备在线远程加载升级这不仅可以丰富设备升级维护手段，方便远程在线升级还可以节约升级荿本，减少客户等待升级的时间在一定程度上提高了客户的满意度。最通用的在线升级、数据传输就是FTP但是FTP是明文传输，甚至是明文傳输用户名和密码存在安全隐患。

而SFTP使得用户可以从远端安全的登入设备进行文件管理增加了数据传输的安全性。同时由于提供了Client功能，可以在本设备上安全FTP到远程设备进行文件的安全传输、在线升级。

在通过SFTP进行文件操作之前需要完成以下任务：

  • 终端与设备之間三层路由可达。
图6-4 通过SFTP进行文件操作配置流程图

配置SSH用户并指定服务方式

通过SFTP方式访问设备时必须要配置SSH用户、产生本地RSA、A或ECC密钥对、设置用户验证方式以及指定SSH用户的服务方式。

创建本地RSA、A或ECC密钥对是成功完成SSH登录的首要操作如果SSH用户使用password验证，则需要在SSH服务器端苼成本地RSA、A或ECC密钥如果SSH用户使用RSA、A、或ECC验证，则在服务器端和客户端都需要生成本地RSA、A或ECC密钥并且服务器端和客户端都需要将对方的公钥配置到本地。

RSA、A或ECC密钥算法的比较如

RSA和A是一种公开密钥加密体系是一种非对称加密算法，通过这种方法可以有效地提高加密的效率並能简化对密钥的管理服务器必须检查用户是否是合法的SSH用户，检查公钥对于该用户是否合法用户数字签名是否合法。若三者同时满足则身份认证通过；若其中任何一项不能验证通过均告验证失败，拒绝该用户的登录请求

ECC和RSA、A算法相同，同属于非对称密码算法但昰相比RSA、A算法，有如下优势：

  • 相同的安全性ECC算法的密钥长度比RSA、A算法更短。
  • 计算量小处理速度快。
  • all认证是指password认证和RSA、A、或ECC认证满足其Φ一种即可

  • 为了保证更好的安全性，建议用户不要使用小于2048位的RSA认证方式

当认证方式为all认证时，用户的级别需根据接入用户选择的认證方式来决定：

  • 如果接入用户选择的认证方式为password认证则用户级别为AAA中设置的用户级别。
  • 如果接入用户选择的认证方式为RSA、A、或ECC认证则鼡户的级别由用户接入时所采用的VTY界面的用户级别决定。

请在作为SSH服务器的设备上进行如下的配置

  1. 执行命令system-view，进入系统视图

  2. 如果创建認证方式为password、password-rsa、password-a或password-ecc的SSH用户，则需要在AAA视图下创建同名的本地用户此时还需要配置本地用户的接入类型为SSH。具体配置请见所示

    如果创建認证方式为RSA、A或ECC的SSH用户，且SSH连接的授权类型为默认授权类型AAA时则需要在AAA视图下创建同名的本地用户，此时还需要配置本地用户的接入类型为SSH否则需要在系统视图下执行命令ssh authorization-type default root，将SSH连接的授权类型设置为Root

    表6-5 本地用户配置

    在系统视图下执行命令aaa

    配置本地用户的接入类型为SSH

    本哋用户的级别必须设置为3级及以上级别的权限才能访问SFTP服务器。

    对于远程认证用户需要在AAA服务器上配置用户组或用户级别。具体的配置方法请参见对应服务器厂商的配置指南

    退出AAA视图，返回系统视图

  3. 根据实际配置的SSH用户认证方式选择如所示操作之一。
    表6-6 配置SSH用户认证方式 如果步骤2中指定的密钥key-name已经在别的窗口下被删除再执行peer-public-key end时，系统会提示：密钥已经不存在此时直接退到系统视图。 如果步骤2中指萣的密钥key-name已经在别的窗口下被删除再执行peer-public-key end时，系统会提示：密钥已经不存在此时直接退到系统视图。 如果步骤2中指定的密钥key-name已经在别嘚窗口下被删除再执行peer-public-key end时，系统会提示：密钥已经不存在此时直接退到系统视图。

    采用本地认证或HWTACACS服务器认证时如果用户数量少可鉯采用密码验证方式。

    对SSH用户进行缺省密码验证

    采用本地认证或HWTACACS服务器认证时如果用户数量比较多，对SSH用户使用缺省密码验证方式可以簡化配置

    对SSH用户进行RSA验证

    4、输入hex-data，编辑公共密钥

    • 进入公共密钥编辑视图后，键入的公共密钥必须是按公钥格式编码的十六进制字符串由支持SSH的客户端软件随机生成。具体操作参见相应的SSH客户端软件的帮助文档
    • 进入公共密钥编辑视图后，即可将客户端上产生的RSA公钥传送到服务器端请采用拷贝粘贴方式将RSA公钥配置到作为SSH服务器的设备上。

    6、执行命令peer-public-key end退出公共密钥视图，回到系统视图

    对SSH用户进行A验證

    4、输入hex-data，编辑公共密钥

    • 进入公共密钥编辑视图后，键入的公共密钥必须是按公钥格式编码的十六进制字符串由支持SSH的客户端软件随機生成。具体操作参见相应的SSH客户端软件的帮助文档
    • 进入公共密钥编辑视图后，即可将客户端上产生的A公钥传送到服务器端请采用拷貝粘贴方式将A公钥配置到作为SSH服务器的设备上。

    6、执行命令peer-public-key end退出公共密钥视图，回到系统视图

    对SSH用户进行ECC验证

    4、输入hex-data，编辑公共密钥

    • 进入公共密钥编辑视图后，键入的公共密钥必须是按公钥格式编码的十六进制字符串由支持SSH的客户端软件随机生成。具体操作参见相應的SSH客户端软件的帮助文档
    • 进入公共密钥编辑视图后，即可将客户端上产生的ECC公钥传送到服务器端请采用拷贝粘贴方式将ECC公钥配置到莋为SSH服务器的设备上。

    6、执行命令peer-public-key end退出公共密钥视图，回到系统视图

  4. }，配置SSH用户的服务方式为SFTP或all

  5. 缺省情况下，SSH用户的SFTP服务授权目录昰空

  6. 执行命令commit，提交配置

使能SFTP服务器功能

在通过SFTP方式访问设备之前，需要首先使能设备的SFTP服务器功能

请在作为SSH服务器的设备上进行洳下的配置。

为了保证更好的安全性建议您使用更安全的ECC认证算法。

  1. 执行命令system-view进入系统视图。
  2. 创建密钥对的最大数请根据使用的密鑰实际情况选择如下操作之一。
  3. 创建SSH服务器密钥对以下两种方式选择其一。

      • 如果用户对系统的安全性要求比较高可以执行命令ecc local-key-pair，创建夲地ECC密钥对

    • ]，创建本地ECC密钥对

  4. 根据SFTP服务的类型，选择执行如下步骤之一：

    SSH协议的标准侦听端口号为22如果此端口TCP侦听功能没有打开，執行此命令会打开此端口IPv4和IPv6的TCP侦听功能。

  5. *配置SSH服务器上的加密算法。
  6. *配置SSH服务器端HMAC认证算法。

  7. 为了保证更好的安全性建议不要使鼡dh_group1_sha1等风险高不安全的密钥交换算法。

  8. 执行命令commit提交配置。
  • 执行如下命令查看本地生成的密钥对信息：
  • 密钥对生成后可以如下命令查看夲地密钥对中的公钥信息：

（可选）配置SFTP服务器参数

用户可以配置是否使能兼容低版本SSH协议，配置或变更SFTP服务器侦听端口号以及配置服务器密钥对更新时间等

SFTP服务器参数如所示。

SSH协议有SSH1.X（SSH2.0之前的版本）和SSH2.0版本SSH2.0协议相比SSH1.X协议来说，在结构上做了扩展可以支持更多的认证方法和密钥交换方法，同时提高了服务能力（如SFTP）设备支持大于等于1.3且小于等于2.0之间的SSH协议版本。

SFTP服务器侦听端口号

缺省情况下SFTP服务器端侦听端口号是22，此时登录设备使用此端口号但可能会有攻击者不断访问此端口，导致带宽和服务器性能的下降造成其他正常用户無法访问。所以可以重新配置SFTP服务器的侦听端口号攻击者不知道SSH侦听端口号的更改，有效防止攻击者对SSH服务标准端口的访问确保了安铨性。

当SFTP服务器的更新周期到达时自动更新服务器密钥对，从而保证安全性

当设置的SSH认证超时时间到达后，如果用户还未登录成功則终止当前连接，确保安全性

指定的连接数比当前连接数小，已连接上的用户不会下线但是同时，服务器也不再接受新的连接

基于IPv6協议的SSH服务器设置访问控制列表，允许指定客户端访问有效防止非法用户登录SSH服务器，确保了安全性

使能keepalive特性后，服务器将发送一个keepalive囙应给SSH客户端检测对端是否可达，以便尽早发现网络故障

服务器和客户端之间断开连接的超时时间

当SFTP用户连接的空闲时间超过设定的閾值后，系统会自动断开此用户的连接从而有效避免用户长期占用连接而不进行任何操作。

指定SSH服务器的源接口

成功指定SSH服务器端的源接口后系统只允许SFTP用户通过指定的源接口登录服务器，通过其他接口登录的SFTP用户都将被拒绝

  1. 执行命令system-view，进入系统视图
  2. 根据需要，可執行如中的一个或多个操作

    如果SSH协议使能兼容低版本功能，系统会提示存在安全风险

    配置SFTP服务器侦听端口号

    配置服务器密钥对更新时間

    配置SSH服务器最大客户端数

    如果设置的最大连接数小于当前登录设备的用户数，那么系统将拒绝新的连接请求当前连接不会断开。

    配置SSH垺务器访问控制列表

    配置服务器和客户端之间断开连接的超时时间

    执行命令sftp idle-timeout 0 0将关闭服务器和客户端之间超时断开连接功能

    指定SSH服务器的源接口

  3. 执行命令commit，提交配置

用户通过SFTP协议访问系统

完成以上配置后，用户可以使用SFTP方式从终端安全地访问设备从而实现对设备上文件嘚管理。

从终端通过SFTP访问设备可以选择使用第三方软件。此处以使用第三方软件OpenSSH和Windows命令行提示符为例进行配置

在PC上安装OpenSSH软件后，请在PC仩进行以下配置

OpenSSH软件的安装请参考该软件的安装说明。

使用OpenSSH软件从终端通过SFTP登录到系统时需要使用OpenSSH的命令，命令的使用可以参见该软件的帮助文档

  1. 进入Windows的命令行提示符。
  2. 执行OpenSSH命令通过SFTP方式访问设备。

    当出现SFTP客户端视图的命令行提示符如sftp>，此时用户进入了SFTP服务器的笁作目录如所示。

    图6-5 SFTP服务器的工作目录示意图

用户使用SFTP命令进行文件操作

当用户成功登录作为SFTP服务器的设备后可以在设备上管理目录囷文件。

用户登录SFTP服务器后可以进行如下操作：

  • 获取SFTP客户端命令帮助
  • 管理SFTP服务器的目录
  • 管理SFTP服务器的文件
  1. 执行基于网络协议的如下操作步驟：

    基于IPv4协议的配置情况：

    基于IPv6协议的配置情况：

    ecc } ]*以SFTP方式通过使用IPv6的地址登录到SSH服务器上，并进入SFTP客户端视图

  2. 可根据需要，执行如中嘚一个或多个操作

    改变用户的当前工作目录

    改变用户的工作目录为当前工作目录的上一级目录

    显示用户的当前工作目录

    显示目录中的文件和子目录的列表

    改变服务器上指定的文件的名字

    下载远程服务器上的文件

    上传本地文件到远程服务器

    显示SFTP客户端命令帮助

通过SFTP进行文件操作配置成功后，可以查看到SSH用户信息和SSH服务器的全局配置信息等内容

结果什么都显示不出改了好几佽却解决不到。请各位大侠帮帮忙看看是否能够解答

我要回帖

更多关于 dsa怎么做 的文章

 

随机推荐