小灯网工库 网络工程师实战库 | 故障排除 · 案例教程 · AI网工
案例教程

华为接入交换机 SSH 远程登录配置教程（含连不上排查）

小灯 发布于 阅读 4 评论 0

华为接入交换机 SSH 远程登录：从「连不上」到「稳稳登进去」

你有没有过这种瞬间：

机房里冷气呼呼的，你抱着笔记本，Console 线刚插上——结果发现线又断了、驱动又抽风、或者人已经在工位上，设备却在隔壁楼。

这时候如果交换机已经能 SSH 远程登录，整个人都会轻松一截。

本文就干一件事：把华为接入交换机的 SSH 配通，并把「明明配了却连不上」的坑踩一遍。 。

1. 现象：你可能正卡在哪

常见几种「人已经崩溃」的现场：

  • Console 能进，电脑 ssh / SecureCRT 就是连不上
  • 能 ping 通管理地址，SSH 却超时 / Connection refused
  • 提示用户名密码错，但你发誓密码没记错
  • 以前能登，升级/重启/换电脑后突然不行
  • 同事说「开了 SSH」，结果一查：只开了 Telnet……

如果你中枪了，往下看就对了。

2. 环境（先对号入座）

项目 典型情况
设备 华为接入交换机（S5700 / S5735 / S3000 等常见型号，命令大同小异）
系统 VRP（华为通用命令行）
目标 用电脑通过管理 IP，SSH 登录设备
前提 设备已有管理 IP，且你的电脑能访问到这个 IP（同网段或路由可达）

不同版本个别命令写法可能略有差异（比如密钥生成提示），但思路一样：开服务 → 有密钥 → 有用户 → VTY 只收 SSH → 能通网。

3. 先搞清：SSH 要「五件套」齐了才行

很多人只配了用户名密码，就以为 SSH 好了。其实缺一件都会翻车：

  1. 管理 IP 可达（ping 都过不去，SSH 免谈）
  2. SSH 服务已开启（stelnet server enable）
  3. 本机密钥已生成（没密钥，服务开了也白开）
  4. 本地用户允许 SSH（用户存在，且 service-type 含 ssh）
  5. VTY 允许 SSH 进来（protocol inbound ssh，认证方式配对）

下面按这个顺序配。配完再排障，效率高很多。

4. 配置步骤（照着敲）

下面假设：

  • 管理 VLAN：VLAN 1（生产环境建议单独管理 VLAN，这里只为演示）
  • 管理 IP：192.168.10.10/24
  • 用户：admin
  • 密码：请换成你自己的强密码（请别直接抄示例密码上线）

步骤 1：进系统视图，确认管理 IP

<Huawei> system-view
[Huawei] interface Vlanif1
[Huawei-Vlanif1] ip address 192.168.10.10 255.255.255.0
[Huawei-Vlanif1] quit

电脑先测连通性（Windows CMD / PowerShell）：

ping 192.168.10.10

ping 不通：先查网线、VLAN、本机 IP、网关，别急着怀疑 SSH。

步骤 2：开启 SSH 服务

[Huawei] stelnet server enable

华为这边 SSH 服务名常叫 stelnet，看着像 Telnet，其实是 SSH。别被名字骗了（需要与华三区分开）。

步骤 3：生成本地密钥（很多人栽在这）

[Huawei] rsa local-key-pair create

按提示选密钥长度（常见 2048），确认生成。
有的版本也支持 ECC，思路一样：设备自己要有一对钥匙，SSH 才能握手。

查看是否生成成功（不同版本显示略有差异）：

[Huawei] display rsa local-key-pair public

能看到公钥信息，基本就说明密钥在了。

步骤 4：创建本地用户，并允许 SSH

[Huawei] aaa
[Huawei-aaa] local-user admin password cipher YourStrongPass!23
[Huawei-aaa] local-user admin privilege level 15
[Huawei-aaa] local-user admin service-type ssh
[Huawei-aaa] quit

注意三点：

  • service-type 里必须有 ssh（只写 telnet / terminal 会登录失败）
  • 权限级别按你们规范来，运维常用 15（最高），生产环境建议按最小权限拆分
  • 密码别用 admin/admin，建议大小写字母、数字、特殊符号混合！

步骤 5：配置 VTY，只允许 SSH

[Huawei] user-interface vty 0 4
[Huawei-ui-vty0-4] authentication-mode aaa
[Huawei-ui-vty0-4] protocol inbound ssh
[Huawei-ui-vty0-4] quit

说明：

  • authentication-mode aaa：走上面建的本地用户（AAA）
  • protocol inbound ssh：VTY 只收 SSH，Telnet 直接拒掉（更安全，也更符合现在规范）

如果暂时还要兼容 Telnet（不推荐，仅过渡）：

[Huawei-ui-vty0-4] protocol inbound all

步骤 6：保存配置（不然重启就「丢配置」）

[Huawei] quit
<Huawei> save

确认保存。重启后还在，才算真正配完。

5. 验证：怎么确认「真的好了」

5.1 设备上看服务状态

<Huawei> display stelnet server status

重点看 SSH 服务是否 Enable。

5.2 电脑上登录

Windows 可用 PowerShell / CMD（系统自带 OpenSSH 客户端时）：

ssh admin@192.168.10.10

或用 SecureCRT / Xshell / MobaXterm，协议选 SSH，端口默认 22。

第一次连可能会提示「未知主机密钥 / fingerprint」，确认是你的设备后接受即可。

登录成功，能进用户视图，这篇的主线任务就完成了。

6. 连不上？按这个顺序查（干货区）

把下面当成「急诊清单」。多数现场，查到第 3～4 条就破案了。

坑 1：ping 都不通，却在纠结 SSH

先通网，再谈协议。

ping 192.168.10.10

不通：查管理 VLAN、接口是否 up、本机是否同网段、中间有没有 ACL/防火墙。

坑 2：SSH 服务没开，或开了又关了

display stelnet server status

不是 Enable → 重新 stelnet server enable。

坑 3：没生成密钥（经典）

现象：服务看着开了，客户端却握手失败 / 连不上。

处理：补做 rsa local-key-pair create，再试。

坑 4：用户不允许 SSH

display local-user admin

看 service-type 是否包含 ssh。没有就补：

aaa
local-user admin service-type ssh

坑 5：VTY 还在只收 Telnet，或认证方式不对

display user-interface vty 0 4

确认：

  • authentication-mode 是 aaa（或你实际采用的方式）
  • protocol inbound 含 ssh

坑 6：VTY 上挂了 ACL，把自己挡在门外

有人安全意识很强，ACL 写完发现……自己也进不去了。

检查 VTY 是否绑定 ACL，以及源地址是否放行你的电脑 IP。

坑 7：端口/中间设备拦了 22

电脑能 ping，SSH 超时：可能是中间防火墙、安全策略、或本机软件防火墙拦了出站 22。

可换一台电脑、换一个网段、或临时在同交换机直连管理口验证，缩小范围。

坑 8：密码对，但权限/用户被锁

部分环境有失败锁定策略。可换用户、等解锁，或 Console 进去看本地用户状态。

7. 根因一句话（方便你写进变更说明）

华为接入交换机 SSH 能通，本质是：管理面可达 + SSH 服务与密钥就绪 + 用户允许 SSH + VTY 放行 SSH 并认证成功。
任何一环缺失，表现都是「连不上」，但原因完全不同。

8. 最小可复用配置（收藏这段）

把 IP/用户名/密码换成你的：

system-view
stelnet server enable
rsa local-key-pair create
aaa
 local-user admin password cipher YourStrongPass!23
 local-user admin privilege level 15
 local-user admin service-type ssh
quit
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound ssh
quit
interface Vlanif1
 ip address 192.168.10.10 255.255.255.0
quit
return
save

9. 复盘清单（下次 3 分钟自检）

下次再配或排障，按这个勾：

  1. 管理 IP 能否 ping 通？
  2. stelnet server 是否 Enable？
  3. RSA（或 ECC）本地密钥是否已生成？
  4. 本地用户 service-type 是否含 ssh？
  5. VTY 是否 protocol inbound ssh + 认证方式匹配？
  6. VTY/中间设备是否有 ACL 误伤？
  7. 配置是否已 save？

10. 一点安全提醒（不说教，说后果）

  • 能关 Telnet 就关，只留 SSH
  • 管理地址尽量进管理 VLAN，别跟业务大网裸奔
  • 默认密码、弱密码，等于把钥匙挂在机房门口
  • 有条件再上 ACL 限制「谁可以 SSH 进来」——但先确保自己进得去，再收紧

写在最后

SSH 配通这件事，技术上不难，难的是现场经常「缺一件还不自知」。

希望这篇能让你少拔几次 Console 线，少在机房多待半小时。

如果你那边是 S 系列某具体型号 + 具体报错原文（比如 Connection refused / 认证失败 / 超时），把报错丢评论区或私信思路，我可以按报错再补一版「对症排查」。

—— 小灯｜小灯网工库，联系小灯VX:am00761
https://www.xdnetops.cn

SSH 交换机 华为 接入交换机 远程登录