セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

SSH サーバ

SSH サーバの機能によって、SSH クライアントは Cisco ルータに対してセキュアで暗号化された接続を実行できます。この接続には、インバウンド Telnet 接続の機能と似ています。SSH 以前は、セキュリティは Telnet のセキュリティに限定されていました。SSH を Cisco IOS ソフトウェア認証と併用することで、強力な暗号化が可能になりました。Cisco IOS ソフトウェアの SSH サーバは、市販の一般的な SSH クライアントと連携できます。

SSH 統合クライアント

SSH 統合クライアント機能は、SSH プロトコル上で動作し、デバイスの認証および暗号化を提供するアプリケーションです。SSH クライアントによって、Cisco ルータは他の Cisco ルータ、または SSH サーバを実行する他のデバイスに対して、セキュアで暗号化された接続を実行できます。この接続には、接続が暗号化されている点を除き、アウトバウンド Telnet 接続と似た機能があります。SSH クライアントは、認証および暗号化により、非セキュアなネットワーク上でセキュアな通信ができます。

Cisco IOS ソフトウェアの SSH クライアントは、市販の一般的な SSH クライアントと相互運用ができます。SSH クライアントは、DES、3DES、およびパスワード認証の暗号をサポートします。ユーザ認証は、ルータに対する Telnet セッションの認証と同様に実行されます。SSH でサポートされるユーザ認証メカニズムには、RADIUS、TACACS+、およびローカルに保存されたユーザ名とパスワードがあります。

（注） SSH クライアント機能を使用できるのは、SSH サーバがイネーブルの場合だけです。

RSA 認証のサポート

SSH クライアントで使用できる RSA 認証は、Cisco IOS ソフトウェアの SSH サーバではデフォルトでサポートされていません。RSA 認証のサポートを設定する手順については、「Secure Shell Version 2 Support」の章の「 Configuring a Router for SSH Version 2 Using Private Public Key Pairs 」の項を参照してください。

SSH サーバの設定

SSH サーバを設定するには、次の手順を実行します。このタスクによって、Cisco ルータで SSH をイネーブルにできます。

（注） SSH クライアント機能はユーザ EXEC モードで実行され、ルータの設定は特にありません。

（注） SSH コマンドは任意であり、SSH サーバをディセーブルにするとディセーブルになります。SSH パラメータを設定しない場合、デフォルト値が使用されます。

手順の概要

1. enable

2. configure terminal

3. ip ssh {timeout seconds | authentication-retries integer }

手順の詳細

SSH クライアントの呼び出し

このタスクを実行して、SSH クライアントを呼び出します。

手順の概要

1. enable

2. ssh -l username -vrf vrf-name ip-address

手順の詳細

トラブルシューティングのヒント

• SSH コンフィギュレーション コマンドが正規のコマンドとして拒否される場合、ルータの RSA キー ペアを適切に生成していません。ホスト名とドメインを指定してください。次に、 crypto key generate rsa コマンドを使用して RSA キー ペアを生成し、SSH サーバをイネーブルにします。

• RSA キー ペアを設定すると、次のエラー メッセージが表示されることがあります。

– No hostname specified

hostname グローバル コンフィギュレーション コマンドを使用して、ルータのホスト名を設定する必要があります。詳細については、「 IPsec and Quality of Service 」フィーチャ モジュールを参照してください。

– No domain specified

ip domain-name グローバル コンフィギュレーション コマンドを使用して、ルータのホスト ドメインを設定する必要があります。詳細については、「 IPsec and Quality of Service 」フィーチャ モジュールを参照してください。

• 使用できる SSH 接続数は、ルータに設定されている vty の最大数に制限されます。各 SSH 接続は vty リソースを使用します。

• SSH は、ユーザ認証のためにルータ上で AAA を介して設定されたローカル セキュリティまたはセキュリティ プロトコルを使用します。AAA を設定する場合、ユーザ認証のためにコンソールで AAA をディセーブルにする必要があります。デフォルトでコンソールの AAA 認可はディセーブルです。コンソールで AAA 認可がイネーブルの場合、AAA コンフィギュレーション段階で no aaa authorization console コマンドを設定してディセーブルにします。

Cisco 7200 シリーズ ルータ上の SSH：例

次の例では、60 秒以下のタイムアウト、および 2 回以下の認証再試行回数を指定した SSH が Cisco 7200 に設定されています。SSH サーバ機能をルータに設定する前に、TACACS+ は認証の方式として指定されます。

Cisco 7500 シリーズ ルータ上の SSH：例

次の例では、60 秒以下のタイムアウト、および 5 回以下の認証再試行回数を指定した SSH が Cisco 7500 に設定されています。SSH サーバ機能をルータに設定する前に、RADIUS は認証の方式として指定されます。

Cisco 12000 シリーズ ルータ上の SSH：例

次の例では、60 秒以下のタイムアウト、および 2 回以下の認証再試行回数を指定した SSH が Cisco 12000 に設定されています。SSH サーバ機能をルータに設定する前に、TACACS+ は認証の方式として指定されます。

SSH の確認：例

SSH サーバがイネーブルであることを確認し、SSH 接続のバージョンおよび設定データを表示するには、 show ip ssh コマンドを使用します。次に、SSH がイネーブルの例を示します。

次に、SSH がディセーブルの例を示します。

SSH サーバ接続のステータスを確認するには、 show ssh コマンドを使用します。次に、SSH をイネーブルにしたときのルータ上の SSH サーバ接続の例を示します。

次に、SSH がディセーブルの例を示します。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2004-2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2004-2011, シスコシステムズ合同会社.
All rights reserved.