ssh远程登录和防火墙

### 华为防火墙SSH远程登录配置教程 #### 1. 开启SSH服务 为了使华为防火墙能够通过SSH进行远程管理，首先要确保SSH服务器功能已启用。这通常是在系统的安全设置中完成。 ```shell system-view ssh server enable ``` 上述命令用于激活SSH服务[^3]。 #### 2. 创建具有SSH访问权限的用户账号 创建专门用于SSH登录的账户，并赋予相应的权限级别。这里假设用户名为`admin_ssh`： ```shell local-user admin_ssh class manage password simple Admin@123456789 service-type ssh authorization-attribute level 15 quit ``` 这段脚本定义了一个新的管理员级别的用户，该用户的密码被设定为复杂度较高的字符串以增强安全性[^4]。 #### 3. 设置VTY接口参数 接下来调整虚拟终端(VTY)的相关属性来允许来自外部网络的安全Shell会话请求接入： ```shell user-interface vty 0 4 authentication-mode scheme protocol inbound ssh idle-timeout 15 quit ``` 以上配置指定了仅接受基于方案的身份验证模式下的SSH连接尝试，并设置了超时时间为15分钟。 #### 4. 定义IP地址池与ACL规则 为了让特定范围内的主机可以成功建立至防火墙的SSH连接，还需要设立合适的访问控制列表(Access Control List)，以及关联一个动态分配给这些客户端使用的内部IPv4/IPv6地址集合： ```shell acl number 3000 rule permit source X.X.X.X Y.Y.Y.Y // 将X.X.X.X替换为客户机所在子网, Y.Y.Y.Y代表掩码长度 nat address-group 1 mode pat section 0 Z.Z.Z.Z W.W.W.W // 同样地，Z.Z.Z.Z应指向实际可用作PAT转换后的公共IP区间,W.W.W.W表示其对应的前缀大小 quit ``` 此处构建了一条允许某些源IP段发起SSH通信路径的同时实施NAT映射操作的策略[^2]。 #### 5. 应用安全区域间转发行为 最后一步是确认所涉及的不同逻辑分区间的流量处理方式——即从外向内地准许合法的数据包穿越边界到达目标端口（通常是TCP 22），同时拒绝其他未授权活动的发生： ```shell security-policy rule name allow_ssh_inbound source-zone untrust destination-zone trust action permit service tcp_ssh quit ``` 此部分明确了当数据流由不可信区(untrust zone)前往受保护域(trust zone)期间如果匹配到了名为tcp_ssh的服务对象则予以放行。