简介
本文档介绍如何在Windows或Linux/macOS平台上使用安全外壳(SSH)访问CES设备的CLI。
作者：思科TAC工程师Dennis McCabe Jr。
背景信息
要访问CES邮件安全设备(ESA)或安全管理设备(SMA)的CLI，需要完成两个阶段，下面将详细讨论这两个阶段。
- 生成SSH密钥对
- 配置SSH客户端
注意：以下说明应涵盖野外使用的大量操作系统；但是，如果您使用的内容未列出或您仍需要帮助，请联系思科TAC，我们将尽力提供具体说明。这些只是可用于完成此任务的工具和客户端的一小段。
定义
请熟悉本文中将使用的一些术语。
代理服务器
这些是CES SSH代理服务器，您将用于启动与CES实例的SSH连接。您需要使用特定于设备所在区域的代理服务器。例如，如果登录主机名是esa1.test.iphmx.com，则您将使用美国地区的iphmx.com代理服务器之一。
- AP(ap.iphmx.com)
- f15-ssh.ap.ip hmx.com
- f16-ssh.ap.ip hmx.com
- AWS(r1.ces.cisco.com)
- p3-ssh.r1.ces.cisco.com
- p4-ssh.r1.ces.cisco.com
- CA(ca.iphmx.com)
- f13-ssh.ca.ip hmx.com
- f14-ssh.ca.ip hmx.com
- 欧盟(c3s2.iphmx.com)
- f10-ssh.c3s2.iphmx.com
- f11-ssh.c3s2.iphmx.com
- EU(eu.iphmx.com)
- f17-ssh.eu.ip hmx.com
- f18-ssh.eu.ip hmx.com
- 美国(iphmx.com)
- f4-ssh.iphmx.com
- f5-ssh.iphmx.com
登录主机名
这是CES ESA或SMA的非代理主机名，将以esa1或sma1等内容开头，当您登录Web用户界面(WUI)时，可在网页右上角找到。 格式应如下：esa[1-20].<allocation>.<datacenter>.com或sma[1-20].<allocation>.<datacenter>.com。
生成SSH密钥对
要开始访问CES设备，您首先需要生成私有/公有SSH密钥对，然后向Cisco TAC提供公钥。思科TAC导入您的公钥后，您可以继续执行后续步骤。请勿共享您的私钥。
对于以下任一步骤，密钥类型应为标准位长度为2048的RSA。
Windows：
PuTTYgen或类似工具可用于生成密钥对。如果使用Windows Subsystem for Linux(WSL)，您也可以按照以下说明进行操作。
对于Linux/macOS:
在新终端窗口中，您可以运行ssh-keygen以创建密钥对。
示例：
ssh-keygen -t rsa -b 2048 -f ~/.ssh/mykey
其中：
ssh-keygen -t
-b
-f
创建SSH密钥对后，请将您的公钥提供给Cisco TAC以供导入，然后继续进行客户端配置。请勿共享您的私钥。
配置SSH客户端
注意：用于CLI访问的SSH连接不是直接建立到CES设备，而是通过本地主机转发的SSH隧道，本地主机直接连接到我们的SSH代理。连接的第一部分将连接到其中一个代理服务器，第二部分将连接到本地主机上的SSH隧道转发端口。
Windows：
我们将使用PuTTY作为示例，因此请注意，如果使用其他客户端，可能需要稍微修改步骤。此外，请确保您使用的任何客户端都已更新为最新的可用版本。
Windows — 步骤1 — 连接到SSH代理和开放转发端口
- 对于主机名，输入适用于CES分配的代理服务器。
- 展开Connection，单击Data，然后输入dh-user作为自动登录用户名。
- 在Connection仍然展开的情况下，单击SSH并选中Do not start a shell or command all。
- 展开SSH，单击Auth并浏览到新创建的私钥。
- 在SSH仍然展开的情况下，单击隧道，为本地转发（设备上的任何可用端口）提供源端口，输入CES设备的登录主机名（不是以dh开头的主机名），然后单击添加。
- 如果您想添加多个设备(例如：esa1、esa2和sma1)，您可以添加其他源端口和主机名。然后，会话启动时，所有添加的端口都将被转发。
- 完成上述步骤后，继续返回会话类别，然后命名并保存会话。
Windows — 第2步 — 连接到CES设备的CLI
- 打开并连接到刚创建的会话。
- 在保持SSH代理服务器会话打开时，右键单击窗口并选择New Session，输入127.0.0.1作为IP地址，输入之前在步骤5中使用的源端口，然后单击Open。
- 单击Open后，系统将提示您输入CES凭据，然后您应能访问CLI。（这些凭据与用于访问WUI的凭据相同）
对于Linux/macOS:
Linux/macOS — 步骤1 — 连接到SSH代理和开放转发端口
- 在新终端窗口中，输入以下命令：
ssh -i ~/.ssh/id_rsa -l dh-user -N -f f4-ssh.iphmx.com -L 2200:esa1.test.iphmx.com:22
其中：
ssh -i
-l dh-user -N -f
-L
:
:22
这将打开本地客户端上的端口，将其转发到远程端的给定主机和端口。
Linux/macOS — 步骤2 -连接到CES设备的CLI
- 在相同或新的终端窗口中，输入以下命令。
- 输入后，系统将提示您输入CES密码，然后您应该能够访问CLI。（这些凭据与用于访问WUI的凭据相同）
ssh dmccabej@127.0.0.1 -p 2200
其中：
ssh
@127.0.0.1 -p
反馈