# فعال سازی ssh در سوئیچ ها و روترهای سیسکو - پیوند: https://negarnovin.com/%d9%81%d8%b9%d8%a7%d9%84-%d8%b3%d8%a7%d8%b2%db%8c-ssh-%d8%af%d8%b1-%d8%b3%d9%88%d8%a6%db%8c%da%86-%d9%87%d8%a7-%d9%88-%d8%b1%d9%88%d8%aa%d8%b1%d9%87%d8%a7%db%8c-%d8%b3%db%8c%d8%b3%da%a9%d9%88/ - منتشرشده: 2021-06-13T07:12:38+00:00 - نویسنده: نگارنوین به‌روزرسانی شده در ۳ آبان ۱۴۰۵ # آموزش فعال سازی SSH در سوئیچ ها و روترهای سیسکو 🔐 ( راهنمای جامع CLI، امنیت VTY و رفع خطاها ) در معماری شبکه های سازمانی و رک های دیتاسنتر، مدیریت از راه دور تجهیزات شبکه یکی از روزمره ترین وظایف هر مدیر سیستم و مهندس شبکه است. زمانی که یک روتر یا سوئیچ سیسکو( Cisco ) را به صورت خام روشن می کنید و از طریق کابل کنسول ( Console ) به آن متصل می شوید، برای مدیریت بعدی آن در شبکه دو راه پیش رو دارید: استفاده از پروتکل قدیمی Telnet یا پیکربندی پروتکل امن **SSH ( مخفف Secure Shell )**. [**سرور مجازی خارج**](https://negarnovin.com/%D8%B3%D8%B1%D9%88%D8%B1-%D9%85%D8%AC%D8%A7%D8%B2%DB%8C-%D8%AE%D8%A7%D8%B1%D8%AC/) استفاده از تلنت ( پورت ۲۳ ) در شبکه های امروزی یک خودکشی امنیتی تمام عیار است؛ زیرا تمام اطلاعات از جمله نام کاربری و رمز عبور Enable به صورت متن خام ( Clear Text ) در شبکه ارسال می شوند و هر کسی با یک اسنیفر ساده مثل Wireshark می تواند کل پسوردهای تجهیزات هسته شبکه شما را سرقت کند! به همین دلیل، **فعال سازی SSH در سوئیچ ها و روترهای سیسکو** اولین اقدام حیاتی پس از بیرون آوردن دستگاه از جعبه است. اما کانفیگ SSH در سیستم عامل Cisco IOS و IOS-XE پیش نیازهای خاصی دارد؛ از بررسی نسخه ایمیج رم گرفته تا خطای معروف عدم تولید کلید RSA به دلیل نام پیش فرض دستگاه! در این مستند فنی و کاملا عملی از مگ **نگارنوین**، تمام مراحل راه اندازی، ایمن سازی خطوط VTY و رفع خطاهای الگوریتم رمزنگاری در سیسکو را به صورت گام به گام بررسی می کنیم. --- ## پیش نیازهای حیاتی قبل از فعال سازی SSH در تجهیزات سیسکو 🛑 برخلاف سرورهای لینوکسی که سرویس OpenSSH به صورت پیش فرض روی آن ها نصب است، در روترها و سوئیچ های سیسکو شما نمی توانید مستقیما سراغ تولید کلید رمزنگاری بروید. قبل از وارد کردن دستورات اصلی در محیط خط فرمان ( CLI )، باید ۴ پیش نیاز فنی زیر را بررسی و آماده کنید: ### ۱. بررسی پشتیبانی سیستم عامل IOS از رمزنگاری ( ایمیج های K9 ) همه نسخه های سیستم عامل سیسکو ( Cisco IOS ) قابلیت اجرای پروتکل SSH را ندارند! برای اینکه سوئیچ یا روتر شما بتواند کلیدهای رمزنگاری RSA را تولید کند، فایل ایمیج سیستم عامل آن حتما باید از نوع **Cryptographic** باشد. در استاندارد نام گذاری سیسکو، ایمیج هایی که از رمزنگاری پشتیبانی می کنند دارای عبارت **`k9`** در نام فایل خود هستند ( مثلا `c2960x-universalk9-mz` یا `c1900-universalk9-mz` ). برای اطمینان از این موضوع، در محیط Privileged EXEC دستور زیر را وارد کنید: ``` Switch# show version | include image ``` اگر در خروجی نمایش داده شده، عبارت `k9` یا `K9` را مشاهده کردید، دستگاه شما از SSH پشتیبانی می کند. ### ۲. تغییر نام پیش فرض دستگاه ( Hostname ) یک تله بسیار رایج که مهندسان تازه کار در آن می افتند این است که بدون تغییر نام دستگاه، دستور ساخت کلید را می زنند. سیستم عامل سیسکو به شما اجازه نمی دهد با نام های پیش فرض کارخانه یعنی `Router` یا `Switch` کلید رمزنگاری تولید کنید؛ زیرا نام کلید مستقیما از نام دستگاه ساخته می شود. ### ۳. تعریف نام دامنه ( Domain Name ) الگوریتم تولید کلید در سیسکو، نام جفت کلید RSA را از ترکیب نام دستگاه و نام دامنه می سازد ( به فرمت `hostname.domainname`، مثلا `Core-SW1.negarnovin.local` ). بنابراین بدون تنظیم نام دامنه، دستور ساخت کلید با خطا متوقف خواهد شد. ### ۴. داشتن آی پی مدیریت ( Management IP ) روی اینترفیس یا VLAN پروتکل SSH بر بستر TCP/IP و روی **پورت ۲۲** کار می کند. در روترهای سیسکو، آی پی مستقیما روی پورت فیزیکی ( مثل `GigabitEthernet0/0` ) ست می شود؛ اما در سوئیچ های لایه دو ( مثل سری Catalyst ۲۹۶۰ )، پورت های فیزیکی قابلیت دریافت مستقیم آی پی را ندارند و شما باید آی پی را روی یک اینترفیس مجازی به نام **SVI ( مثلا `interface Vlan 1` یا VLAN مدیریتی )** تنظیم نمایید. [خرید سرور خارج](https://negarnovin.com/%D8%B3%D8%B1%D9%88%D8%B1-%D9%85%D8%AC%D8%A7%D8%B2%DB%8C-%D8%AE%D8%A7%D8%B1%D8%AC/) --- ## آموزش گام به گام فعال سازی SSH در سوئیچ و روتر سیسکو ⚙️ حالا که منطق کار را متوجه شدیم، بیایید کابل کنسول را وصل کنیم و در ۵ گام استاندارد، سرویس SSH نسخه ۲ را روی دستگاه راه اندازی نماییم. ### گام اول: تنظیم نام دستگاه، نام دامنه و آی پی مدیریت ابتدا وارد مد پیکربندی کلی ( Global Configuration Mode ) شوید، نام دستگاه و دامنه را مشخص کنید و در صورتی که روی سوئیچ لایه دو هستید، آی پی مدیریت و دروازه پیش فرض( Default Gateway ) را تنظیم نمایید: ``` Switch> enable Switch# configure terminal ! ۱. تغییر نام پیش فرض دستگاه Switch(config)# hostname NegarNovin-SW1 ! ۲. تنظیم نام دامنه ( در نسخه های جدید IOS-XE بدون خط تیره هم نوشته می شود ) NegarNovin-SW1(config)# ip domain-name negarnovin.com ! ۳. اختصاص آی پی به VLAN مدیریتی در سوئیچ ( در روتر روی پورت فیزیکی ست شود ) NegarNovin-SW1(config)# interface vlan 1 NegarNovin-SW1(config-if)# ip address 192.168.10.2 255.255.255.0 NegarNovin-SW1(config-if)# no shutdown NegarNovin-SW1(config-if)# exit ! ۴. تعریف گیت وی پیش فرض برای دسترسی به سوئیچ از ساب نت های دیگر NegarNovin-SW1(config)# ip default-gateway 192.168.10.1 ``` ### گام دوم: ساخت نام کاربری محلی و رمز عبور امن ( Secret در برابر Password ) برای اتصال از طریق SSH، برخلاف تلنت که می توانست فقط با یک رمز خطی کار کند، شما حتما به یک **نام کاربری و رمز عبور ( Username & Password )** در دیتابیس محلی دستگاه( یا سرور TACACS+ / RADIUS ) نیاز دارید. **یک نکته امنیتی بسیار مهم:** در زمان ساخت یوزر یا تعریف رمز مد Enable، هرگز از کلیدواژه `password` استفاده نکنید! کلیدواژه `password` رمز را به صورت متن باز یا نهایتا با رمزنگاری ضعیف Type ۷ ذخیره می کند که در ۲ ثانیه دیکد می شود. همیشه از کلیدواژه **`secret`** ( که از الگوریتم های هش MD5 / SHA-۲۵۶ / Scrypt استفاده می کند ) به همراه **سطح دسترسی ۱۵ ( Privilege ۱۵ )** استفاده نمایید: ``` ! تعریف رمز عبور امن برای مد Privileged EXEC NegarNovin-SW1(config)# enable secret StrongEnablePass@2026 ! ساخت کاربر ادمین با بالاترین سطح دسترسی ( Privilege 15 ) و رمزنگاری Secret NegarNovin-SW1(config)# username netadmin privilege 15 secret NegarAdmin#99! ! فعال سازی رمزنگاری روی تمام پسوردهای متنی دیگر در فایل کانفیگ NegarNovin-SW1(config)# service password-encryption ``` ### گام سوم: تولید کلید رمزنگاری RSA و فعال سازی SSH Version ۲ 🔑 اکنون نوبت به مهم ترین مرحله یعنی ساخت جفت کلید عمومی و خصوصی RSA می رسد. پروتکل SSH نسخه ۱ دارای آسیب پذیری های امنیتی شدیدی است و برای فعال شدن **نسخه ۲ ( SSHv2)**، طول کلید ( Modulus ) شما باید **حداقل ۷۶۸ بیت** باشد. در استانداردهای امنیتی سال ۲۰۲۶، ما همیشه طول کلید را روی **2048** یا **۴۰۹۶ بیت** تنظیم می کنیم: ``` ! تولید کلید RSA با طول 2048 بیت به صورت مستقیم NegarNovin-SW1(config)# crypto key generate rsa modulus 2048 ``` _( نکته: در برخی از نسخه های قدیمی تر IOS، اگر سوییچ `modulus 2048` را در انتهای دستور قبول نکرد، کافی است فقط دستور `crypto key generate rsa` را بزنید، اینتر بزنید و وقتی سوال `How many bits in the modulus [512]:` را پرسید، عدد `2048` را تایپ کرده و اینتر بزنید )._ بلافاصله پس از ساخته شدن کلید، سرویس SSH روشن می شود. حالا با دستور زیر، نسخه ۱ را غیرفعال کرده و دستگاه را مجبور می کنیم فقط با **SSH نسخه ۲** کار کند: ``` NegarNovin-SW1(config)# ip ssh version 2 ``` در تصویر واقعی زیر که از محیط خط فرمان ( CLI ) سیسکو تهیه شده است، فرآیند تولید کلید ۲۰۴۸ بیتی RSA و پیام فعال شدن سرویس SSH ۱.۹۹ / ۲.۰ را مشاهده می کنید: [⌊فعال سازی ssh در سوئیچ ها و روترهای سیسکو⌉⌊فعال سازی ssh در سوئیچ ها و روترهای سیسکو⌉[ فعال سازی ssh در سوئیچ ها و روترهای سیسکو ### گام چهارم: پیکربندی خطوط مجازی ( VTY Lines ) و مسدود کردن Telnet 🛡️ تولید کردن کلید RSA به تنهایی به معنی امکان ورود به دستگاه نیست! در تجهیزات سیسکو، اتصالات راه دور از طریق پورت های مجازی به نام **خطوط VTY ( مخفف Virtual Teletype)** مدیریت می شوند. روترها معمولا دارای ۵ خط اول ( `0 4` ) و سوئیچ ها دارای ۱۶ خط همزمان(` 0 15` ) هستند. در این مرحله وارد تنظیمات خطوط VTY می شویم، به دستگاه می گوییم برای احراز هویت از دیتابیس کاربران محلی ( همان یوزر `netadmin` که در گام دوم ساختیم ) استفاده کند و مهم تر از همه، **پروتکل ورودی را فقط روی SSH قفل می کنیم** تا پورت ناامن تلنت برای همیشه بسته شود: ``` ! ورود به تنظیمات تمام ۱۶ خط مجازی از 0 تا 15 NegarNovin-SW1(config)# line vty 0 15 ! الزام به احراز هویت با نام کاربری و رمز عبور ساخته شده در دستگاه NegarNovin-SW1(config-line)# login local ! مسدود کردن Telnet و اجازه ورود فقط و فقط از طریق پروتکل SSH NegarNovin-SW1(config-line)# transport input ssh ! قطع خودکار اتصال در صورت ۵ دقیقه و ۳۰ ثانیه عدم فعالیت ( امنیت نشست ) NegarNovin-SW1(config-line)# exec-timeout 5 30 NegarNovin-SW1(config-line)# exit ``` ### گام پنجم: ذخیره نهایی تنظیمات در حافظه NVRAM تمام دستوراتی که تا اینجا وارد کردیم در حافظه موقت رم ( Running-Config ) قرار دارند و با یک بار قطع شدن برق دستگاه می پرند! برای ذخیره دائمی تنظیمات در حافظه NVRAM، از مد کانفیگ خارج شده و دستور ذخیره را بزنید: ``` NegarNovin-SW1(config)# end NegarNovin-SW1# copy running-config startup-config ``` --- ## اسکریپت کامل و یکجا برای کپی سریع در کنسول سیسکو 📋 اگر در دیتاسنتر در حال راه اندازی چندین سوئیچ و روتر جدید هستید و می خواهید کل تنظیمات استاندارد بالا را در چند ثانیه داخل ترمینال Paste کنید، می توانید از بلوک کد یکپارچه زیر استفاده نمایید: ``` enable configure terminal hostname Core-Router-01 ip domain-name negarnovin.com enable secret SuperSecretEnable@2026 username admin privilege 15 secret SuperStrongPass#2026 service password-encryption crypto key generate rsa modulus 2048 ip ssh version 2 ip ssh time-out 60 ip ssh authentication-retries 3 line vty 0 15 login local transport input ssh exec-timeout 5 0 exit end write memory ``` --- ## ایمن سازی پیشرفته SSH در سیسکو ( Hardening برای محیط دیتاسنتر ) 🧱 فعال کردن SSH و بستن Telnet گام اول است؛ اما در محیط های عملیاتی واقعی و روترهای لبه شبکه ( Edge Routers ) که دارای آی پی ولید ( Public IP ) هستند، بات نت ها به صورت ۲۴ ساعته به پورت ۲۲ حمله می کنند. برای اینکه امنیت روتر و سوئیچ سیسکوی خود را به سطح استانداردهای دیتاسنتری برسانید، این ۳ تکنیک طلایی را اعمال کنید: ### ۱. محدود کردن آی پی های مجاز با لیست کنترل دسترسی ( VTY ACL ) هیچ دلیلی ندارد که کل اینترنت یا تمام کارمندان شرکت بتوانند صفحه لاگین SSH سوئیچ هسته شما را ببینند! بهترین کار این است که یک **Access-List ( لیست دسترسی )** بنویسید که فقط به آی پی کامپیوتر مدیر شبکه ( مثلا `192.168.10.50` ) اجازه اتصال بدهد و آن را با دستور `access-class` روی خطوط VTY اعمال کنید: ``` ! ساخت یک ACL استاندارد و مجاز کردن فقط آی پی سیستم ادمین NegarNovin-SW1(config)# ip access-list standard MGMT-SSH-ACL NegarNovin-SW1(config-std-nacl)# permit 192.168.10.50 NegarNovin-SW1(config-std-nacl)# deny any log NegarNovin-SW1(config-std-nacl)# exit ! اعمال کردن ACL روی خطوط VTY در جهت ورودی ( in ) NegarNovin-SW1(config)# line vty 0 15 NegarNovin-SW1(config-line)# access-class MGMT-SSH-ACL in NegarNovin-SW1(config-line)# exit ``` ### ۲. مقابله با حملات Brute Force با قابلیت Login Block-for در روترهای سیسکو قابلیتی فوق العاده مشابه فایروال CSF در لینوکس وجود دارد که اگر هکری چندین بار رمز SSH را اشتباه وارد کند، پورت SSH را به صورت خودکار به روی مهاجم قفل می کند ( حالت Quiet Mode ). با اجرای دستور زیر، اگر کسی در عرض **۶۰ ثانیه، ۳ بار** رمز را اشتباه بزند، دسترسی ورود به مدت **۱۲۰ ثانیه** مسدود می شود: ``` NegarNovin-SW1(config)# login block-for 120 attempts 3 within 60 NegarNovin-SW1(config)# login on-failure log NegarNovin-SW1(config)# login on-success log ``` ### ۳. تغییر تایم اوت و تعداد تلاش های مجاز در نشست SSH به صورت پیش فرض، سیسکو به کاربر ۱۲۰ ثانیه فرصت می دهد تا رمز را تایپ کند. برای جلوگیری از اشغال شدن خطوط VTY توسط اتصالات باز مانده، این زمان را به ۶۰ ثانیه و تعداد تلاش ها را به ۳ بار کاهش دهید: ``` NegarNovin-SW1(config)# ip ssh time-out 60 NegarNovin-SW1(config)# ip ssh authentication-retries 3 ``` --- ## جدول دستورات مانیتورینگ، تست و مدیریت SSH در سیسکو 📊 پس از اتمام پیکربندی، برای بررسی وضعیت سرویس، مشاهده مدیرانی که در حال حاضر به سوئیچ وصل هستند یا قطع کردن اتصال یک کاربر مشکوک، از دستورات جدول مرجع زیر در مد Privileged EXEC استفاده کنید: | دستور در محیط CLI سیسکو | کاربرد فنی و خروجی دستور | | `show ip ssh` | نمایش وضعیت روشن بودن SSH، نسخه فعال ( Version ۲.۰ ) و مقادیر تایم اوت | | `show ssh` | نمایش لیست تمام نشست های فعال فعلی، نام کاربری افراد متصل و الگوریتم رمزنگاری | | `show users` ( یا `show line` ) | نمایش خطوط کنسول و VTY اشغال شده به همراه آی پی سیستم های متصل | | `show crypto key mypubkey rsa` | مشاهده کلید عمومی RSA تولید شده روی دستگاه و بررسی طول بیت ( ۲۰۴۸/۴۰۹۶ ) | | `clear line vty 2` | اخراج کردن و قطع فوری اتصال کاربری که روی خط شماره ۲ متصل است | | `crypto key zeroize rsa` | حذف کامل کلیدهای RSA فعلی ( در مد config ) برای ساخت مجدد کلید جدید | در تصویر زیر، خروجی واقعی دستورات `show ip ssh` و `show ssh` را پس از اتصال موفق ادمین از طریق نرم افزار Putty و ترمینال لینوکس به سوئیچ سیسکو مشاهده می کنید: ![بررسی صحت فعال سازی SSH در سیسکو با دستور show ip ssh و show ssh](https://negarnovin. com/wp-content/uploads/cisco-show-ip-ssh-verification.jpg) --- ## عیب یابی تخصصی: رفع ۳ خطای بسیار رایج هنگام اتصال به SSH سیسکو 🔧 در تجربه کاری واقعی، گاهی اوقات با وجود انجام تمام مراحل بالا، هنگام اتصال از لپ تاپ خود به سوئیچ با ارورهای عجیبی روبرو می شوید. در ادامه راه حل دقیق این ۳ مشکل را بررسی می کنیم: ### ۱. رفع خطای “no matching key exchange method found (diffie-hellman-group1-sha1)” در لینوکس و مک این خطا یکی از پرتکرارترین مشکلات مدیران سرور در سال های اخیر است! اگر یک سوئیچ یا روتر سیسکو با سیستم عامل کمی قدیمی تر داشته باشید و بخواهید از طریق ترمینال لینوکس جدید ( مثل Ubuntu ۲۴.۰۴ یا AlmaLinux ۹ ) به آن SSH بزنید، با خطای زیر مواجه می شوید و اتصال برقرار نمی شود: ``` Unable to negotiate with 192.168.10.2 port 22: no matching key exchange method found. Their offer: diffie-hellman-group1-sha1,diffie-hellman-group14-sha1 ``` **علت و راه حل:** کلاینت های جدید OpenSSH به دلایل امنیتی الگوریتم های قدیمی تبادل کلید SHA1 را به صورت پیش فرض غیرفعال کرده اند. برای حل این مشکل به دو روش می توانید عمل کنید: * **راه حل سمت کلاینت لینوکس ( فوری ):** هنگام زدن دستور ssh در لینوکس، الگوریتم قدیمی را با سوییچ `-o` مجاز کنید: * `ssh -oKexAlgorithms=+diffie-hellman-group14-sha1 -oHostKeyAlgorithms=+ssh-rsa netadmin@192.168.10.2` * **راه حل سمت سیسکو ( در IOS-XE جدید ):** الگوریتم های مدرن تر تبادل کلید ( مثل` ecdh-sha2-nistp256` یا `dh-group14-sha256` ) را با دستور `ip ssh dh min size 2048` روی روتر فعال نمایید. ### ۲. خطای “% Please define a domain-name first” هنگام ساخت کلید اگر هنگام زدن دستور `crypto key generate rsa` با این خطا روبرو شدید، به این دلیل است که یا دستور `ip domain-name` را فراموش کرده اید و یا در سیستم عامل های جدیدتر سیسکو ( IOS-XE ) باید این دستور را **بدون خط تیره** یعنی به صورت `ip domain name negarnovin.com` وارد کنید. ### ۳. خطای “Connection Refused” با وجود باز بودن پینگ سوئیچ اگر آی پی سوئیچ به درستی پینگ می شود اما نرم افزار Putty خطای `Connection Refused` می دهد، ابتدا با کابل کنسول دستور `show ip ssh` را بزنید تا مطمئن شوید کلید RSA ساخته شده است. اگر SSH روشن بود، دستور `show running-config | section line vty` را بزنید؛ در ۹۰ درصد مواقع یا دستور `transport input none` روی خطوط VTY خورده است و یا یک `access-class` آی پی سیستم شما را بلاک کرده است. --- ## امنیت لایه شبکه تا لایه اپلیکیشن در زیرساخت ابری نگارنوین 🚀 ایمن سازی ارتباطات مدیریتی در سوئیچ ها و روترهای سیسکو و مسدود کردن پروتکل های ناامنی مثل Telnet، پایه و اساس امنیت در لایه شبکه ( لایه ۲ و ۳ ) هر دیتاسنتر استانداردی است. اگر شبکه زیرساختی دیتاسنتر به درستی پیکربندی و ایزوله نشده باشد، حتی قوی ترین سرورها نیز در برابر حملات شنود ترافیک ( Sniffing ) و مرد میانی ( MITM ) آسیب پذیر خواهند بود. ما در **نگارنوین**، امنیت و پایداری را از بالاترین لایه روتینگ و سوئیچینگ دیتاسنتر تا درونی ترین لایه نرم افزاری سرورها به صورت یکپارچه پیاده سازی کرده ایم. در زیرساخت ابری و سرورهای اختصاصی و مجازی نگارنوین، ارتباطات شبکه بر روی تجهیزات Enterprise با پروتکل های رمزنگاری شده مدیریت می شوند و در سمت سرور نیز، میزبان های ما مجهز به سیستم عامل فوق پایدار **آلما لینوکس ( AlmaLinux )** و آخرین نسخه کنترل پنل ** cPanel / WHM** هستند. برای وبمسترها و مدیران سایت های **وردپرس ( نسخه ۷.۱ )**، ترکیب این شبکه امن با وب سرور تجاری **لایت اسپید ( LiteSpeed )**، مفسر فوق سریع **PHP 8.4** و سپر دفاعی هوش مصنوعی **Imunify360** در سرویس های هاستینگ نگارنوین، به این معناست که کسب و کار آنلاین شما هم در لایه سخت افزار شبکه و هم در لایه کدهای وب، در سریع ترین و نفوذناپذیرترین وضعیت ممکن فعالیت خواهد کرد. --- ## سوالات متداول درباره فعال سازی SSH در سیسکو ( FAQ ) 💡 ### ۱. چطور می توانیم پورت پیش فرض SSH ( پورت ۲۲ ) را در روتر سیسکو تغییر دهیم؟ برای افزایش امنیت و دور ماندن از اسکنرهای خودکار، می توانید با استفاده از قابلیت Rotary در سیسکو پورت SSH را عوض کنید. برای مثال، در مد کانفیگ دستور `ip ssh port 2244 rotary 1` را وارد کنید و سپس وارد تنظیمات `line vty 0 15` شده و دستور `rotary 1` را اضافه نمایید تا از آن پس SSH روی پورت ۲۲۴۴ پاسخ دهد. ### ۲. تفاوت دستور transport input ssh با transport input all در خطوط VTY چیست؟ دستور `transport input all` به کاربران اجازه می دهد هم از طریق پروتکل امن SSH و هم از طریق پروتکل ناامن Telnet ( و سایر پروتکل های قدیمی ) به سوئیچ متصل شوند که از نظر امنیتی بسیار خطرناک است. اما دستور `transport input ssh` تمام پروتکل های دیگر را مسدود کرده و تنها راه ورود از راه دور به دستگاه را به تونل رمزنگاری شده SSH محدود می کند. ### ۳. اگر نام دستگاه ( Hostname ) را بعد از فعال کردن SSH تغییر دهیم چه اتفاقی می افتد؟ از آنجایی که نام جفت کلید RSA بر اساس نام قبلی دستگاه ساخته شده است، تغییر Hostname باعث پاک شدن کلید قبلی نمی شود، اما برای حفظ نظم و استانداردهای امنیتی توصیه می شود پس از تغییر نام دستگاه، ابتدا کلید قبلی را با دستور `crypto key zeroize rsa` پاک کنید و مجددا دستور `crypto key generate rsa modulus 2048` را اجرا نمایید تا کلید جدید با نام تازه ساخته شود. ### ۴. چگونه از داخل خود روتر یا سوئیچ سیسکو به یک روتر دیگر SSH بزنیم ( به عنوان کلاینت )؟ برای اینکه از داخل محیط CLI یک روتر سیسکو به دستگاه دیگری ( مثلا با آی پی `192.168.10.5` و نام کاربری `admin` ) متصل شوید، نیازی به دستور عادی لینوکس نیست؛ بلکه باید از سوییچ `-l` ( حرف L کوچک ) به شکل زیر استفاده کنید: `Router# ssh -l admin 192.168.10.5` ## جمع بندی و منبع در این مستند جامع و گام به گام دیدیم که **فعال سازی SSH در سوئیچ ها و روترهای سیسکو** یک فرآیند چند مرحله ای و دقیق است که از بررسی ایمیج `k9` و تنظیم Hostname و Domain- Name آغاز شده و با ساخت کاربر سطح ۱۵ ( با رمزنگاری Secret )، تولید کلید ۲۰۴۸ بیتی RSA و قفل کردن خطوط VTY روی `transport input ssh` تکمیل می شود. همچنین یاد گرفتیم که چگونه با اعمال Access-Class و قابلیت `login block-for`، تجهیزات شبکه خود را در برابر حملات بروت فورس نفوذناپذیر کنیم. آیا در هنگام تولید کلید RSA روی سوئیچ های کاتالیست یا اتصال از کلاینت های جدید لینوکس به روترهای سیسکو با خطای خاصی مواجه شده اید؟ مدل دستگاه و متن خطای خود را در بخش نظرات همین مقاله بنویسید تا مهندسان شبکه نگارنوین در سریع ترین زمان ممکن راه حل دقیق را برای شما ارسال کنند. منبع آموزشی: [نگارنوین ( negarnovin.com )](https://negarnovin.com) ### 📌 خلاصه فعال ssh در سوئیچ ها و روترهای سیسکو/در ابتدا باید چک کنید که دیوایس شما از ssh پشتیبانی می‌کند یا خیر؟  برای این منظور ## 🔗 مطالب مرتبط * [آموزش فعالسازی SSH روتر یا سوئیچ های سیسکو](https://negarnovin.com/%d8%a2%d9%85%d9%88%d8%b2%d8%b4-%d9%81%d8%b9%d8%a7%d9%84%d8%b3%d8%a7%d8%b2%db%8c-ssh-%d8%b1%d9%88%d8%aa%d8%b1-%db%8c%d8%a7-%d8%b3%d9%88%d8%a6%db%8c%da%86-%d9%87%d8%a7%db%8c-%d8%b3%db%8c%d8%b3%da%a9/) * [فعال سازی snmp در لینوکس Linux](https://negarnovin.com/%d9%81%d8%b9%d8%a7%d9%84-%d8%b3%d8%a7%d8%b2%db%8c-snmp-%d9%84%db%8c%d9%86%d9%88%da%a9%d8%b3-linux/)