SSH サーバの機能によって、SSH クライアントは Cisco ルータに対してセキュアで暗号化された接続を実行できます。この接続は、インバウンド Telnet 接続の機能と同様です。SSH 以前は、セキュリティは Telnet のセキュリティに限定されていました。SSH を Cisco ソフトウェアの認証と併用することで、強力な暗号化が可能になります。Cisco ソフトウェアの SSH サーバは、市販の一般的な SSH クライアントと相互運用できます。

SSH クライアント機能は、SSH プロトコルを介して実行されるアプリケーションで、認証と暗号化を行います。SSH クライアントによって、Cisco ルータは他の Cisco ルータ、または SSH サーバを実行する他のデバイスに対して、セキュアで暗号化された接続を実行できます。この接続は、接続が暗号化されている点を除き、アウトバウンド Telnet 接続の機能と同様です。認証と暗号化により、SSH クライアントは、セキュリティ保護されていないネットワーク上でもセキュアな通信を実現できます。

SSH クライアントは、市販の一般的な SSH サーバと連動します。SSH クライアントは、AES、3DES、メッセージ ダイジェスト アルゴリズム 5（MD5）、SHA1、およびパスワード認証の暗号をサポートしています。ユーザ認証はルータへの Telnet セッションで実行されます。SSH がサポートするユーザ認証メカニズムには、Remote Authentication Dial-In User Service（RADIUS）、TACACS+、およびローカルに格納されたユーザ名とパスワードを使用した認証があります。

SSH クライアントでは、発信パケットに DSCP 値を設定することができます。

ssh client dscp <value from 0 – 63>

設定しない場合は、（クライアントとサーバの両方の）パケットにデフォルトの DSCP 値 16 が設定されます。

SSH クライアントは次のオプションをサポートしています。

RP/0/5/CPU0:router#ssh ?
  A.B.C.D  IPv4 (A.B.C.D) address
  WORD     Hostname of the remote node
  X:X::X   IPv6 (A:B:C:D...:D) address
  vrf      vrf table for the route lookup
RP/0/5/CPU0:router#ssh 1.1.1.1 ?
  cipher            Accept cipher type
  command           Specify remote command (non-interactive)
  source-interface  Specify source interface
  username          Accept userid for authentication
  <cr>              
RP/0/5/CPU0:router#ssh 12.28.46.6 username admin command "show redundancy sum" 
Password: 


Wed Jan  9 07:05:27.997 PST
    Active Node    Standby Node
    -----------    ------------
       0/4/CPU0        0/5/CPU0 (Node Ready, NSR: Not Configured)

RP/0/5/CPU0:router#

SSH には、SSHv2 で導入された新たな標準ファイル転送プロトコルである Standard File Transfer Protocol（SFTP）のサポートが含まれています。この機能は、ルータ設定またはルータ イメージ ファイルをコピーするセキュアで認証された方法を提供します。

SFTP クライアント機能は SSH コンポーネントの一部として提供され、ルータで常にイネーブルになっています。このため、適切なレベルのユーザは、ルータへのファイルのコピーおよびルータからのファイルのコピーが可能です。copy コマンドと同様に、sftp コマンドは XR EXEC モードでのみ使用できます。

SFTP クライアントは VRF 対応であるため、接続の試行時に特定の送信元インターフェイスに関連付けられた VRF を使用するようにセキュア FTP クライアントを設定することもできます。SFTP クライアントはインタラクティブ モードもサポートしています。このモードでは、ユーザはサーバにログインして特定の作業を UNIX サーバ経由で実行できます。

SFTP サーバは SSH サーバのサブシステムです。つまり、SSH サーバが SFTP サーバ要求を受信すると、SFTP API は SSH サーバに対して子プロセスとして SFTP サーバを作成します。新たな要求のたびに、新しい SFTP サーバ インスタンスが作成されます。

SFTP は、次の手順で新たな SFTP サーバを要求します。

• ユーザが必要な引数を指定して sftp コマンドを実行します

• SFTP API は SSH サーバと通信する子プロセスを内部に作成します

• SSH サーバは SFTP サーバ子プロセスを作成します

• SFTP サーバおよびクライアントは暗号化形式で相互に通信します

• SFTP 転送は LPTS ポリサー「SSH-Known」の影響を受けます。ポリサーの値が低いと、SFTP 転送の速度に影響します。

（注）	IOS-XR ソフトウェア リリース 4.3.1 以降では、SSH-Known のデフォルトのポリサー値が 2500 pps から 300 pps にリセットされました。この変更により転送速度の低下が予想されます。このパントの原因となる LPTS ポリサー値を高い値に調整することにより、転送速度を上げることができます

SSH サーバが SSH クライアントと新たな接続を確立すると、サーバ デーモンは新たな SSH サーバ子プロセスを作成します。子サーバ プロセスは、キー交換とユーザ認証プロセスによって、SSH クライアントとサーバとの間にセキュアな通信チャネルを構築します。SSH サーバがサブシステムを SFTP サーバにする要求を受信した場合、SSH サーバ デーモンは SFTP サーバ子プロセスを作成します。SFTP サーバ サブシステム要求を受信するたびに、新たな SSH サーバ子インスタンスおよび SFTP サーバ インスタンスが作成されます。SFTP サーバはユーザ セッションを認証し、接続を開始します。ユーザのデフォルト ディレクトリおよびクライアントの環境を設定します。

初期化が実行されると、SFTP サーバはクライアントからの SSH_FXP_INIT メッセージを待機します。このメッセージは、ファイル通信セッションを開始するためには不可欠です。このメッセージの後に、クライアントの要求に基づいたメッセージが続く場合があります。ここでは、プロトコルは「要求応答」モデルを採用しています。クライアントがサーバに要求を送信すると、サーバはこの要求を処理し応答を送信します。

SFTP サーバは次の応答を表示します。

• ステータス応答

• 処理応答

• データ応答

• 名前応答

（注）	サーバは、着信する SFTP 接続を受け付けるために稼働している必要があります。

サーバの正当性を検証することは、セキュアな SSH 接続を実現する最初の手順です。このプロセスはホスト認証と呼ばれ、クライアントが有効なサーバに接続していることを確認するために実施されます。

ホスト認証はサーバの公開キーを使用して実行されます。サーバは、キー交換フェーズの間に公開キーをクライアントに提供します。クライアントはこのサーバの既知ホストのデータベースと、対応する公開キーをチェックします。クライアントでサーバの IP アドレスが見つからなかった場合は、ユーザに警告メッセージを表示し、ユーザは公開キーを保存するか廃棄するかを選択できます。サーバの IP アドレスは見つかったものの公開キーが一致しない場合、クライアントは接続を終了します。公開キーが有効な場合、サーバは検証され、セキュアな SSH 接続が確立されます。

IOS XR SSH サーバおよびクライアントは、DSA ベースのホスト認証をサポートしていました。ただし、IOS などの他の製品との互換性のため、RSA ベースのホスト認証のサポートも追加されました。

SSH プロトコルにおいてユーザを認証する方法の 1 つに、RSA 公開キー ベースのユーザ認証があります。秘密キーの保持がユーザ認証の役割を果たします。この方法は、ユーザの秘密キーで作成した署名を送信することで機能します。各ユーザは RSA キーペアをクライアント マシンに保持しています。RSA キーペアの秘密キーはクライアント マシンに残ったままです。

ユーザは、ssh-keygen などの標準的なキー生成メカニズムを使用して、RSA 公開キーと秘密キーのキー ペアを UNIX クライアント上に生成します。サポートされているキーの最大の長さは 4096 ビットで、最小の長さは 512 ビットです。次に、一般的なキー生成アクティビティの例を示します。

bash-2.05b$ ssh-keygen –b 1024 –t rsa
Generating RSA private key, 1024 bit long modulus

公開キーを正常にボックスにインポートするには、公開キーが Base64 エンコード（バイナリ）形式である必要があります。インターネットで入手できるサード パーティのツールを使用して、キーをバイナリ形式に変換できます。

公開キーがルータにインポートされると、SSH クライアントは内部で「-o」オプションを使用して要求を指定することで、公開キー認証方式を使用できるようになります。次に例を示します。

client$ ssh -o PreferredAuthentications=publickey 1.2.3.4

公開キーが RSA 方式によってルータにインポートされていない場合、SSH サーバはパスワード ベースの認証を開始します。公開キーがインポートされている場合、サーバは両方の方式の使用を提案します。SSH クライアントはいずれかの方式を使用して、接続を確立します。SSH クライアントからの発信接続の数は 10 まで許可されます。

現時点では、SSH バージョン 2 および SFTP サーバのみが RSA ベースの認証をサポートしています。

（注）	推奨される認証方法は SSH RFC に記載されています。RSA ベース認証のサポートはローカル認証のみです。TACACS/RADIUS サーバに対してはサポートされていません。

認証、許可、およびアカウンティング（AAA）は、Cisco ルータまたはアクセス サーバにアクセス コントロールを設定できる主要なフレームワークを提供する一連のネットワーク セキュリティ サービスです。

キーボードを使用して認証情報を入力する認証方式は、キーボード インタラクティブ認証と呼ばれます。この方式は、SSH プロトコルのインタラクティブな認証方式です。この認証方式では、SSH クライアントは、認証方法の基本的メカニズムを考慮することなく、さまざまな認証方法をサポートできます。

現在、SSHv2 クライアントはキーボード インタラクティブ認証をサポートしています。この認証方式は、インタラクティブなアプリケーションでのみ機能します。

（注）	パスワード認証はデフォルトの認証方式です。キーボード インタラクティブ認証方式は、キーボード インタラクティブ認証のみをサポートするようにサーバが設定されている場合に選択されます。