思科路由器如何进行远程管理？SSH配置与验证方法

思科路由器远程管理建议使用SSH登录管理IP。设备具备可达的管理地址后，配置主机名、域名和RSA密钥，创建本地管理员账号，再让VTY线路只接收SSH。管理员即可从受控电脑连接设备并完成日常查看与配置。

思科路由器SSH远程管理配置

1、确认管理地址和控制台备份

管理员电脑必须能到达路由器的管理IP，跨网段时还要检查来回路由。首次修改远程管理设置前保留Console登录通道，避免VTY配置有误后无法回到设备修复。

2、准备身份和密钥条件

进入全局配置模式，为设备设置主机名和域名，建立本地账号。SSH需要主机名和域名来生成用于加密的RSA密钥。密钥生成后启用SSHv2。

configure terminal
hostname R1
ip domain name example.local
username netadmin privilege 15 secret <强密码>
crypto key generate rsa
ip ssh version 2

3、让VTY只接受SSH

进入设备实际存在的VTY线路范围，使用本地账号认证，并限制输入协议为SSH。不同型号可用的VTY范围不同，先核对设备配置，再把规则覆盖用于远程接入的全部线路。

line vty 0 15
login local
transport input ssh

4、从管理员电脑验证连接

在受控电脑终端执行ssh netadmin@管理IP。首次连接会显示路由器RSA主机密钥指纹，先与设备侧或变更记录核对，确认可信后再接受并输入账号密码。

登录后运行show ip ssh查看SSH服务和版本，运行show ssh查看已有会话。确认无误后保存配置，防止重启后丢失。

收紧远程管理入口

• 限制来源：创建仅允许管理员主机或管理网段的ACL，在VTY下使用access-class名称in应用。未被允许的来源会被拒绝。
• 控制闲置会话：在VTY下设置exec-timeout，让长时间无操作的SSH会话自动断开。
• 排查无法连接：依次检查管理IP连通性、RSA密钥、SSH版本、本地账号、VTY的login local与transport input ssh，以及ACL是否误挡当前来源。