華為交換機基礎配置之三十五：SFTP伺服器配置示例

組網需求

如圖1所示，終端PC與裝置路由可達，10.136.23.4是裝置的管理網口IP位址。使用者希望在終端與裝置之間進行安全的檔案傳輸操作，以防止普通FTP服務帶來的“中間人”攻擊和一些網絡欺騙（DNS欺騙和IP欺騙）。将裝置配置為SSH伺服器，提供SFTP服務，伺服器通過對用戶端的認證和雙向的資料加密，實作使用者對安全檔案傳輸操作的要求。

圖1 配置通過SFTP進行檔案操作組網圖

配置思路

采用如下的思路配置使用者通過SFTP進行檔案操作：

1. 在SSH伺服器端生成本地密鑰對及使能SFTP伺服器功能，實作在伺服器端和用戶端進行安全地資料互動。
2. 配置SSH伺服器端的VTY使用者界面。
3. 配置SSH使用者，包括認證方式、服務類型、授權目錄以及使用者名和密碼等。
4. 從終端通過第三方軟體OpenSSH實作通路SSH伺服器。

操作步驟

1. 在伺服器端生成本地密鑰對，并使能SFTP伺服器功能。

<HUAWEI> system-view
[HUAWEI] sysname SSH_Server
[SSH_Server] dsa local-key-pair create
Info: The key name will be: SSH_Server_Host_DSA.                                                                                   
Info: The key modulus can be any one of the following : 1024, 2048.                                                            
Info: If the key modulus is greater than 512, it may take a few minutes.                                                            
Please input the modulus [default=2048]:                                                                                            
Info: Generating keys...                                                                                                            
Info: Succeeded in creating the DSA host keys.            

[SSH_Server] ssh server-source -i MEth 0/0/1    
//如果裝置無管理網口，則可配置為管理IP位址對應的接口。如果此處伺服器端源位址配置為了非管理IP位址及其對應的接口，則用戶端必須使用配置的源位址才能連接配接伺服器。
[SSH_Server] sftp server enable           

2、在伺服器端配置VTY使用者界面。

[SSH_Server] user-interface vty 0 14
[SSH_Server-ui-vty0-14] authentication-mode aaa
[SSH_Server-ui-vty0-14] protocol inbound ssh
[SSH_Server-ui-vty0-14] quit           

3、配置SSH使用者，包括認證方式、服務類型、授權目錄以及使用者名和密碼等。

[SSH_Server] ssh user client001 authentication-type password
[SSH_Server] ssh user client001 service-type sftp
[SSH_Server] ssh user client001 sftp-directory flash: 
[SSH_Server] aaa
[SSH_Server-aaa] local-user client001 password irreversible-cipher YsHsjx_202206
[SSH_Server-aaa] local-user client001 privilege level 15
[SSH_Server-aaa] local-user client001 service-type ssh
[SSH_Server-aaa] quit           

4、從終端通過OpenSSH軟體實作通路SFTP伺服器。

隻有在使用者終端安裝了OpenSSH軟體後，Windows指令行提示符才能識别OpenSSH相關指令。

說明：請使用與目前終端作業系統相比對的OpenSSH版本，否則可能會導緻通過SFTP方式通路交換機失敗。

圖2 通路界面

通過第三方軟體連接配接裝置後，進入SFTP視圖，此時可以執行一系列檔案操作。

配置檔案

SSH_Server的配置檔案

#
sysname SSH_Server
#
aaa
 local-user client001 password irreversible-cipher $1a$P2m&M5d"'JHR7b~SrcHF\Z\,2R"t&6V|zOLh9ygt;M\bjG$D>%@Ug/<3I$+=Y$
 local-user client001 privilege level 15
 local-user client001 service-type ssh
#
sftp server enable
ssh user client001
ssh user client001 authentication-type password
ssh user client001 service-type sftp
ssh user client001 sftp-directory flash:
ssh server-source -i MEth 0/0/1 
#
user-interface vty 0 14
 authentication-mode aaa
#
return