Users Guide

￭ secadmin — 对设置安全策略和系统访问权限的配置命令的完全访问权限，如密码强度、AAA 授权和加密密钥。安
全管理员可以显示安全信息，如加密密钥、登录统计信息和日志信息。
￭ netadmin — 对管理流经交换机（如路由、接口和 ACL）的流量的配置命令的完全访问权限。网络管理员无法访问
安全功能的配置命令或查看安全信息。
￭ netoperator — 仅访问 EXEC 模式以查看当前配置。网络操作员无法修改交换机上的配置设置。
重新配置未知用户角色的权限
OS10(config)# userrole default inherit sysadmin
为 RADIUS 或 TACACS+ 用户角色配置权限
OS10(config)# userrole tacacsadmin inherit netadmin
SSH 服务器
在 OS10 中，安全 shell 服务器允许 SSH 客户端通过安全的加密连接访问 OS10 交换机。SSH 服务器使用 RADIUS 质询/响应、
受信任的主机文件、本地存储的密码和公钥对远程客户端进行身份验证。
配置 SSH 服务器
● 默认情况下，SSH 服务器已启用。您可以使用 no ip ssh server enable 命令禁用 SSH 服务器。
● 默认情况下，质询响应身份验证已禁用。要启用，请使用 ip ssh server challenge-response-authentication
命令。
● 默认情况下，基于主机的身份验证已禁用。要启用，请使用 ip ssh server hostbased-authentication 命令。
● 默认情况下，密码身份验证已启用。要禁用，请使用 no ip ssh server password-authentication 命令。
● 默认情况下，公钥身份验证已启用。要禁用，请使用 no ip ssh server pubkey-authentication 命令。
● 默认情况下，不使用密码的登录已禁用。要启用，请使用 username sshkey 或 username sshkey filename 命令。
● 使用 ip ssh server cipher cipher-list 命令配置加密算法的列表。
● 使用 ip ssh server kex key-exchange-algorithm 命令配置密钥交换算法。
● 使用 ip ssh server mac hmac-algorithm 命令配置哈希消息身份验证代码 (HMAC) 算法。
● 使用 ip ssh server port port-number 命令配置 SSH 服务器侦听端口。
● 使用 ip ssh server vrf 命令将 SSH 服务器配置为可在管理 VRF 上访问。
● 使用 ip ssh server login-grace-time seconds 命令配置 SSH 登录超时，从 0 到 300；默认值为 60。要重设默
认 SSH 提示计时器，请使用 no ip ssh server login-grace-time 命令。
● 使用 ip ssh server max-auth-tries number 命令配置身份验证尝试的最大数量，从 0 到 10；默认值为 6。要重置
默认值，请使用 no ip ssh server max-auth-tries 命令。
max-auth-tries 值包括所有身份验证尝试，包括公钥和密码。如果同时启用了基于公钥的身份验证和密码身份验证，则
公钥身份验证为默认设置，并首先尝试。如果失败，max-auth-tries 的数量将减少 1。在此情况下，如果您配置了 ip
ssh server max-auth-tries 1，则不会显示密码提示。
重新生成公钥
启用时，默认情况下，SSH 服务器会生成公钥并将其用于客户端身份验证：
● Rivest、Shamir 和 Adelman (RSA) 密钥（使用 2048 位）。
● 椭圆曲线数字签名算法 (ECDSA) 密钥（使用 256 位）
● Ed25519 密钥（使用 256 位）
注: OS10 SSH 服专器不支持 RSA1 和 DSA 密专。
SSH 客户端必须交换相同公钥才能建立与 OS10 交换机的安全 SSH 连接。如有必要，您可以使用自定义的位大小重新生成 SSH
服务器使用的密钥。您不能更改 Ed25519 密钥的默认大小。crypto key generate 命令仅适用于 sysadmin 和 secadmin
角色。
1. 在 EXEC 模式下重新生成 SSH 服务器的密钥。
crypto ssh-key generate {rsa {2048|3072|4096} | ecdsa {256|384|521} | ed25519}
2. 在提示符处输入 yes 以覆盖现有密钥。
Host key already exists. Overwrite [confirm yes/no]:yes
Generated 2048-bit RSA key
908
安全性