目  錄

1 公鑰管理

1.1 簡介

1.1.1 非對稱密鑰算法原理

1.1.2 非對稱密鑰算法作用

1.2 公鑰管理配置任務簡介

1.3 生成本地非對稱密鑰對

1.4 導入本地非對稱密鑰對

1.5 將本地非對稱密鑰中的主機公鑰分發到遠端主機

1.5.1 功能簡介

1.5.2 導出本地非對稱密鑰對中的主機公鑰

1.5.3 顯示本地非對稱密鑰對中的公鑰信息

1.6 配置遠端主機的公鑰

1.6.1 功能簡介

1.6.2 配置限製和指導

1.6.3 導入遠端主機的公鑰

1.6.4 手工配置遠端主機的公鑰

1.7 銷毀本地非對稱密鑰對

1.8 公鑰管理顯示和維護

1.9 公鑰管理典型配置舉例

1.9.1 手工配置遠端主機公鑰配置舉例

1.9.2 從公鑰文件中導入遠端主機公鑰配置舉例

 

1 公鑰管理

1.1  簡介

公鑰管理用於非對稱密鑰算法的密鑰管理與發布。

1.1.1  非對稱密鑰算法原理

非對稱密鑰算法是數據加解密的一種方法，用來保證數據在網絡中安全傳輸、不被攻擊者非法竊聽和惡意篡改。如圖1-1所示，在非對稱密鑰算法中，加密和解密使用的密鑰一個是對外公開的公鑰，一個是由用戶秘密保存的私鑰，從公鑰很難推算出私鑰。公鑰和私鑰一一對應，二者統稱為非對稱密鑰對。通過公鑰（或私鑰）加密後的數據隻能利用對應的私鑰（或公鑰）進行解密。對稱密鑰算法中，加密和解密使用相同的密鑰。

圖1-1 加密和解密轉換關係示意圖

 

非對稱密鑰算法包括RSA（Rivest Shamir and Adleman）、DSA（Digital Signature Algorithm，數字簽名算法）、ECDSA（Elliptic Curve Digital Signature Algorithm，橢圓曲線數字簽名算法）和SM2算法等。

1.1.2  非對稱密鑰算法作用

非對稱密鑰算法主要有兩個用途：

·     對發送的數據進行加/解密：發送者利用接收者的公鑰對數據進行加密，隻有擁有對應私鑰的接收者才能使用該私鑰對數據進行解密，從而可以保證數據的機密性。目前，隻有RSA算法可以用來對發送的數據進行加/解密。

·     對數據發送者的身份進行認證：非對稱密鑰算法的這種應用，稱為數字簽名。發送者利用自己的私鑰對數據進行加密，接收者利用發送者的公鑰對數據進行解密，從而實現對數據發送者身份的驗證。由於隻能利用對應的公鑰對通過私鑰加密後的數據進行解密，因此根據解密是否成功，就可以判斷發送者的身份是否合法，如同發送者對數據進行了“簽名”。目前，RSA、DSA、ECDSA和SM2都可以用於數字簽名。

非對稱密鑰算法應用十分廣泛，例如SSH（Secure Shell，安全外殼）、SSL（Secure Sockets Layer，安全套接字層）、PKI（Public Key Infrastructure，公鑰基礎設施）中都利用了非對稱密鑰算法進行數字簽名。非對稱密鑰算法隻有與具體的應用（如SSH、SSL）配合使用，才能實現利用非對稱密鑰算法進行加/解密或數字簽名。SSH、SSL和PKI的介紹，請參見“安全配置指導”中的“SSH”、“SSL”和“PKI”。

1.2  公鑰管理配置任務簡介

公鑰管理配置任務如下：

(1)     生成本地非對稱密鑰對

(2)     導入本地非對稱密鑰對

(3)     將本地非對稱密鑰中的主機公鑰分發到遠端主機

請選擇以下一項進行配置：

¡     導出本地非對稱密鑰對中的主機公鑰

¡     顯示本地非對稱密鑰對中的公鑰信息

為了實現遠端主機對本地設備的身份驗證，用戶需要將本地的主機公鑰保存到遠端主機上。

(4)     配置遠端主機的公鑰

請選擇以下一項進行配置：

¡     導入遠端主機的公鑰

¡     手工配置遠端主機的公鑰

為了實現本地設備對遠端主機的身份驗證，用戶需要在本地設備上配置遠端主機公鑰。

(5)     （可選）銷毀本地非對稱密鑰對

1.3  生成本地非對稱密鑰對

1. 配置限製和指導

創建RSA和DSA密鑰對時，設備會提示用戶輸入密鑰模數的長度。密鑰模數越長，安全性越好，但是生成密鑰的時間越長。創建ECDSA密鑰對時，可使用不同密鑰長度的橢圓曲線，密鑰越長，安全性越好，但是生成密鑰的時間越長。創建SM2密鑰對時，使用固定密鑰長度的橢圓曲線。關於密鑰模數長度或密鑰長度的配置限製和注意事項請參見表1-1。

生成密鑰對時，如果不指定密鑰對名稱，係統會以缺省名稱命名密鑰對，並把該密鑰對標記為默認（default）。

用戶可以使用缺省的密鑰對名稱創建其他密鑰對，但係統不會把該密鑰對標記為默認（default）。

非默認名稱密鑰對的密鑰類型和名稱不能完全相同，否則需要用戶確認是否覆蓋原有的密鑰對。不同類型的密鑰對，名稱可以相同。

執行public-key local create命令後，生成的密鑰對將保存在設備中，設備重啟後密鑰不會丟失。

表1-1 不同類型密鑰對對比

密鑰對類型	生成的密鑰對	密鑰模數長度
RSA	·     不指定密鑰對名稱時，將同時生成兩個密鑰對服務器密鑰對和主機密鑰對 ·     指定密鑰對名稱時，隻生成一個主機密鑰對 目前，隻有SSH1.5中應用了RSA服務器密鑰對	長度取值範圍為512～2048比特，缺省值為1024比特，建議密鑰模數的長度大於或等於768比特
DSA	隻生成一個主機密鑰對	長度取值範圍為512～2048比特，缺省值為1024比特，建議密鑰模數的長度大於或等於768比特
ECDSA	隻生成一個主機密鑰對	長度取值為192、256、384或521比特
SM2	隻生成一個主機密鑰對	長度取值為256比特

 

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     生成本地非對稱密鑰對。

public-key local create { dsa | ecdsa [ secp192r1 | secp256r1 | secp384r1 | secp521r1 ] | rsa } [ name key-name ]

public-key local create sm2 [ name key-name ] [ on device-name ]

1.4  導入本地非對稱密鑰對

1. 功能簡介

在某些情況下，設備需要從其它設備上導入密鑰對。如果待導入的密鑰對包含在證書中，隻需要導入證書便能將密鑰對一並導入設備；如果待導入的證書和密鑰對是分開的兩個文件，設備無法通過導入證書的方式來導入密鑰對，此時需要將密鑰對文件通過FTP等方式上傳到本地設備中，再通過public-key local import命令導入密鑰對。

導入的密鑰對將保存在設備中，設備重啟後密鑰不會丟失。

2. 配置限製和指導

當導入的密鑰對類型為RSA時，設備隻支持導入RSA主機密鑰對，不支持導入RSA服務器密鑰對。

設置密鑰對名稱時請注意：

·     導入密鑰對時，如果不指定密鑰對名稱，係統會以缺省名稱命名密鑰對，並把該密鑰對標記為默認（default）。

·     導入密鑰對時，用戶可以輸入缺省的密鑰對名稱，但係統不會把該密鑰對標記為默認（default）。

·     非默認名稱密鑰對的密鑰類型和名稱不能完全相同，否則需要確認是否覆蓋原有的密鑰對。不同類型的密鑰對，名稱可以相同。

如果導入的密鑰對是加密後的密鑰對，需要提供解密密碼才能成功導入。

設備支持導入的密鑰長度範圍請參見表1-2。

表1-2 設備支持導入的密鑰對長度

密鑰對類型	密鑰模數長度/密鑰長度
RSA	長度取值範圍為512～2048比特
ECDSA	長度取值為192、256、384或521比特

 

3. 配置準備

執行本命令前，請先將密鑰對文件保存到設備本地的存儲路徑下。

4. 配置步驟

(1)     進入係統視圖。

system-view

(2)     導入本地非對稱密鑰對。

public-key local import { ecdsa | rsa } [ key-name ] filename filename

1.5  將本地非對稱密鑰中的主機公鑰分發到遠端主機

1.5.1  功能簡介

在某些應用（如SSH）中，為了實現遠端主機采用數字簽名方法對本地設備進行身份驗證，用戶需要將本地的主機公鑰保存到遠端主機上。

將本地的主機公鑰保存到遠端主機上，有以下三種方法：

·     在本地設備上執行public-key local export命令按照指定格式將本地主機公鑰導出到指定文件（執行命令時指定filename參數），並將該文件上傳到遠端主機上。在遠端主機上，通過從公鑰文件中導入的方式將本地的主機公鑰保存到遠端設備上。

·     在本地設備上執行public-key local export命令按照指定格式將本地主機公鑰導出到用戶界麵（執行命令時不指定filename參數），通過拷貝粘貼等方式將用戶界麵上的主機公鑰保存到文件中，並將該文件上傳到遠端主機上。在遠端主機上，通過從公鑰文件中導入的方式將本地的主機公鑰保存到遠端設備上。

·     在本地設備上執行display public-key local public命令顯示非對稱密鑰對中的公鑰信息，並記錄主機公鑰數據。在遠端主機上，通過手工配置的方式將記錄的本地主機公鑰保存到遠端設備上。

1.5.2  導出本地非對稱密鑰對中的主機公鑰

(1)     進入係統視圖。

system-view

(2)     導出本地非對稱密鑰對中的主機公鑰。

¡     按照指定格式將本地RSA主機公鑰導出到指定文件或用戶界麵。

public-key local export rsa [ name key-name ] { openssh | ssh1 | ssh2 } [ filename ]

¡     按照指定格式將本地ECDSA主機公鑰導出到指定文件或用戶界麵。

public-key local export ecdsa [ name key-name ] { openssh | ssh2 } [ filename ]

¡     按照指定格式將本地DSA主機公鑰導出到指定文件或用戶界麵。

public-key local export dsa [ name key-name ] { openssh | ssh2 } [ filename ]

¡     按照指定格式將本地SM2主機公鑰導出到指定文件或用戶界麵。

public-key local export sm2 [ name key-name ] { openssh | ssh2 } [ filename ]

1.5.3  顯示本地非對稱密鑰對中的公鑰信息

請在任意視圖下執行以下命令。

·     顯示本地RSA密鑰對中的公鑰信息。

display public-key local rsa public [ name key-name ]

若執行本命令時，同時顯示了RSA服務器密鑰對和主機密鑰對的公鑰信息，用戶隻需記錄主機密鑰對的公鑰信息。

·     顯示本地ECDSA密鑰對中的公鑰信息。

display public-key local ecdsa public [ name key-name ]

·     顯示本地DSA密鑰對中的公鑰信息。

display public-key local dsa public [ name key-name ]

·     顯示本地SM2密鑰對中的公鑰信息。

display public-key local sm2 public [ name key-name ]

1.6  配置遠端主機的公鑰

1.6.1  功能簡介

在某些應用（如SSH）中，為了實現本地設備對遠端主機的身份驗證，需要在本地設備上配置遠端主機的RSA、ECDSA、DSA主機公鑰。用戶可以使用以下方法配置遠端主機公鑰：

·     導入遠端主機公鑰。

·     手工配置遠端主機公鑰。

遠端主機公鑰信息的獲取方法，請參見“1.5  將本地非對稱密鑰中的主機公鑰分發到遠端主機”。

1.6.2  配置限製和指導

從公鑰文件中導入遠端主機的公鑰時，需要符合以下要求：

·     設備支持導入的公鑰文件的格式為.pem、.cer、.crt、.der和.key格式。

·     公鑰文件中公鑰數據的長度不能超過4096比特，否則導入失敗。

手工配置遠端主機的公鑰時，輸入的主機公鑰必須滿足一定的格式要求。通過display public-key local public命令顯示的公鑰可以作為輸入的公鑰內容；通過其他方式（如public-key local export命令）顯示的公鑰可能不滿足格式要求，導致主機公鑰保存失敗。因此，建議選用從公鑰文件導入的方式配置遠端主機的公鑰。

1.6.3  導入遠端主機的公鑰

1. 功能簡介

用戶事先將遠端主機的公鑰文件保存到本地設備（例如，通過FTP或TFTP，以二進製方式將遠端主機的公鑰文件保存到本地設備），本地設備從該公鑰文件中導入遠端主機的公鑰。導入公鑰時，係統會自動將遠端主機的公鑰文件轉換為PKCS（Public Key Cryptography Standards，公共密鑰加密標準）編碼形式。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     從公鑰文件中導入遠端主機的公鑰。

public-key peer keyname import sshkey filename

1.6.4  手工配置遠端主機的公鑰

1. 功能簡介

用戶事先在遠端主機上通過display public-key local public命令查看其公鑰信息，並記錄遠端主機公鑰的內容。在本地設備上采用手工輸入的方式將遠端主機的公鑰配置到本地。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     指定遠端主機公鑰的名稱，並進入公鑰視圖。

public-key peer keyname

(3)     手工輸入遠端主機的公鑰。

逐個字符輸入或拷貝粘貼公鑰內容。

在輸入公鑰內容時，字符之間可以有空格，也可以按回車鍵繼續輸入數據。保存公鑰數據時，將刪除空格和回車符。

(4)     退出公鑰視圖時，保存配置的主機公鑰。

peer-public-key end

1.7  銷毀本地非對稱密鑰對

1. 功能簡介

在如下幾種情況下，建議用戶銷毀舊的非對稱密鑰對，並生成新的密鑰對：

·     本地設備的私鑰泄露。這種情況下，非法用戶可能會冒充本地設備訪問網絡。

·     保存密鑰對的存儲設備出現故障，導致設備上沒有公鑰對應的私鑰，無法再利用舊的非對稱密鑰對進行加/解密和數字簽名。

·     本地證書到達有效期，需要刪除對應的本地密鑰對。本地證書的詳細介紹，請參見“安全配置指導”中的“PKI”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     銷毀本地非對稱密鑰對。

public-key local destroy { dsa | ecdsa | rsa | sm2 } [ name key-name ]

1.8  公鑰管理顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後公鑰管理的信息，通過查看顯示信息驗證配置的效果。

表1-3 公鑰管理顯示和維護

操作	命令
顯示本地非對稱密鑰對中的公鑰信息	display public-key local { dsa | ecdsa | rsa | sm2 } public [ name key-name ]
顯示保存在本地的遠端主機的公鑰信息	display public-key peer [ brief | name publickey-name ]

 

1.9  公鑰管理典型配置舉例

1.9.1  手工配置遠端主機公鑰配置舉例

1. 組網需求

如圖1-2所示，為了防止非法用戶訪問，Device B（本地設備）采用數字簽名方法對訪問它的Device A（遠端設備）進行身份驗證。進行身份驗證前，需要在Device B上配置Device A的公鑰。

本例中要求：

·     Device A采用的非對稱密鑰算法為RSA算法。

·     采用手工配置方式在Device B上配置Device A的主機公鑰。

2. 組網圖

圖1-2 手工配置遠端主機公鑰配置組網圖

 

3. 配置步驟

(1)     配置Device A

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

# 在Device A上生成默認名稱的本地RSA非對稱密鑰對，密鑰模數的長度采用缺省值1024比特。

[DeviceA] public-key local create rsa

The range of public key modulus is (512 ~ 4096).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.

Create the key pair successfully.

# 顯示生成的本地RSA密鑰對的公鑰信息。

[DeviceA] display public-key local rsa public

 

=============================================

Key name: hostkey(default)

Key type: RSA

Time when key pair created: 10:28:00 2017/05/19

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100C305DA3BD5EDB06D

   9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC71E9A14220C38FE9EF2313E1FF6

   2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB568DD5CFCDE4CDC892FDED1BC861

   91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2D8E45BE87A7DAFE94204DAB702

   4A6E137BE307C5ACB70203010001

 

=============================================

Key name: serverkey(default)

Key type: RSA

Time when key pair created: 10:28:00 2017/05/19

Key code:

 

   307C300D06092A864886F70D0101010500036B003068026100CBF917CB6C6CFD28B92BC07E

   621326E3079464B31BB18D3D3AC866D48812CE14DBFC9EFC347A7E96D3714B7CF918A1751C

   681E5A3DBE79961E26829009308CAA3E920824BFE5B8907CCA073405CEDC5681B6AF82B7F9

   593FF85DF70D607B13430203010001

(2)     配置Device B

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0

[DeviceB-GigabitEthernet1/0/1] quit

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[DeviceB] security-zone name Untrust

[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1

[DeviceB-security-zone-Untrust] quit

# 配置安全策略放行Untrust與Local安全域之間的流量，使得Device A可以向Device B發送報文

[DeviceB-security-policy-ip] rule name pkeylocalin

[DeviceB-security-policy-ip-1-pkeylocalin] source-zone untrust

[DeviceB-security-policy-ip-1-pkeylocalin] destination-zone local

[DeviceB-security-policy-ip-1-pkeylocalin] source-ip-host 10.1.1.1

[DeviceB-security-policy-ip-1-pkeylocalin] destination-ip-host 10.2.2.2

[DeviceB-security-policy-ip-1-pkeylocalin] action pass

[DeviceB-security-policy-ip-1-pkeylocalin] quit

[DeviceB-security-policy-ip] quit

# 在Device B上配置Device A的主機公鑰：在公鑰視圖輸入Device A的主機公鑰，即在Device A上通過display public-key local rsa public命令顯示的主機公鑰hostkey內容。

<DeviceB> system-view

[DeviceB] public-key peer devicea

Enter public key view. Return to system view with "peer-public-key end" command.

[DeviceB-pkey-public-key-devicea] 30819F300D06092A864886F70D010101050003818D003081890

2818100C305DA3BD5EDB06D

[DeviceB-pkey-public-key-devicea] 9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC7

1E9A14220C38FE9EF2313E1FF6

[DeviceB-pkey-public-key-devicea] 2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB56

8DD5CFCDE4CDC892FDED1BC861

[DeviceB-pkey-public-key-devicea] 91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2

D8E45BE87A7DAFE94204DAB702

[DeviceB-pkey-public-key-devicea] 4A6E137BE307C5ACB70203010001

# 從公鑰視圖退回到係統視圖，並保存用戶輸入的公鑰。

[DeviceB-pkey-public-key-devicea] peer-public-key end

4. 驗證配置

# 顯示Device B上保存的Device A的主機公鑰信息。

[DeviceB] display public-key peer name devicea

 

=============================================

Key name: devicea

Key type: RSA

Key modulus: 1024

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100C305DA3BD5EDB06D

   9828084DA4E4EA8E2FBA246BF29D85F71ABB6044CC5D4EC71E9A14220C38FE9EF2313E1FF6

   2A927E44CF24E1341AF76CEF0D65A7E8E2E43596E9B8EB568DD5CFCDE4CDC892FDED1BC861

   91E561D56E5E77C30D427D0D9D4B22E71572F725F63266C2D8E45BE87A7DAFE94204DAB702

   4A6E137BE307C5ACB70203010001

通過對比可以看出，Device B上保存的Device A的主機公鑰信息與Device A實際的主機公鑰信息一致。

1.9.2  從公鑰文件中導入遠端主機公鑰配置舉例

1. 組網需求

如圖1-3所示，為了防止非法用戶訪問，Device B（本地設備）采用數字簽名方法對訪問它的Device A（遠端設備）進行身份驗證。進行身份驗證前，需要在Device B上配置Device A的公鑰。

本例中要求：

·     Device A采用的非對稱密鑰算法為RSA算法。

·     采用從公鑰文件中導入的方式在Device B上配置Device A的主機公鑰。

2. 組網圖

圖1-3 從公鑰文件中導入遠端主機公鑰配置組網圖

 

3. 配置步驟

(1)     配置Device A

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

(2)     配置Device B

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ip address 10.1.1.2 255.255.255.0

[DeviceB-GigabitEthernet1/0/1] quit

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[DeviceB] security-zone name Untrust

[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1

[DeviceB-security-zone-Untrust] quit

# 配置安全策略放行Untrust與Local安全域之間的流量，使得Device A可以向Device B發送報文

[DeviceB-security-policy-ip] rule name pkeylocalin

[DeviceB-security-policy-ip-1-pkeylocalin] source-zone untrust

[DeviceB-security-policy-ip-1-pkeylocalin] destination-zone local

[DeviceB-security-policy-ip-1-pkeylocalin] source-ip-host 10.1.1.1

[DeviceB-security-policy-ip-1-pkeylocalin] destination-ip-host 10.2.2.2

[DeviceB-security-policy-ip-1-pkeylocalin] action pass

[DeviceB-security-policy-ip-1-pkeylocalin] quit

[DeviceB-security-policy-ip] quit

(3)     在Device A上生成密鑰對，並導出公鑰

# 在Device A上生成默認名稱的本地RSA非對稱密鑰對，密鑰模數的長度采用缺省值1024比特。

<DeviceA> system-view

[DeviceA] public-key local create rsa

The range of public key modulus is (512 ~ 4096).

If the key modulus is greater than 512, it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

.

Create the key pair successfully.

# 顯示生成的本地RSA密鑰對的公鑰信息。

[DeviceA] display public-key local rsa public

 

=============================================

Key name: hostkey(default)

Key type: RSA

Time when key pair created: 10:58:47 2017/05/19

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100D584D31764E92A97

   11B6AE429BDF8A3C70D019D79D6F9905789E1020E5904121FB76261C48227451FE14B754EE

   1C0CBFCD96021B55D4E439F1377DBBE466323F7559ED7BC3BC94F7CA16362A9E0FB010567A

   F202B45906B71F90F75A09D72BA16EFB3F44D7B3AE90D450C4C72F478F57935FE4E8F6BFE1

   C2F404E7E8C13174790203010001

 

=============================================

Key name: serverkey(default)

Key type: RSA

Time when key pair created: 10:58:47 2017/05/19

Key code:

 

   307C300D06092A864886F70D0101010500036B003068026100BD8BED0D9EC4C8435B074FF4

   0EDE756A7DE9276638184DF53A7AB072EC75025C22F65B68C16B04278E158078B44445E8F7

   73BD4182616EB5F23089D214FE5A5E246B4C54C2B23491A690AA69C30CCE5E8705D8BFFDED

   C90292074A836A86BB8D0203010001

# 將生成的默認名稱的RSA主機公鑰導出到指定文件devicea.pub中。

[DeviceA] public-key local export rsa ssh2 devicea.pub

(4)     在Device A上啟動FTP服務器功能

# 啟動FTP服務器功能，創建FTP用戶（用戶名為ftp，密碼為123），並配置FTP用戶的用戶角色為network-admin。

[DeviceA] ftp server enable

[DeviceA] local-user ftp

[DeviceA-luser-manage-ftp] password simple 123

[DeviceA-luser-manage-ftp] service-type ftp

[DeviceA-luser-manage-ftp] authorization-attribute user-role network-admin

[DeviceA-luser-manage-ftp] quit

(5)     Device B獲取Device A的公鑰文件

# Device B通過FTP以二進製方式從Device A獲取公鑰文件devicea.pub。

<DeviceB> ftp 10.1.1.1

Connected to 10.1.1.1 (10.1.1.1).

220 FTP service ready.

User (10.1.1.1:(none)): ftp

331 Password required for ftp.

Password:

230 User logged in.

Remote system type is UNIX.

Using binary mode to transfer files.

ftp> binary

200 TYPE is now 8-bit binary

ftp> get devicea.pub

227 Entering Passive Mode (10,1,1,1,118,252)

150 Accepted data connection

226 File successfully transferred

301 bytes received in 0.022 seconds (13.45 Kbytes/s)

ftp> quit

221-Goodbye. You uploaded 0 and downloaded 1 kbytes.

221 Logout.

(6)     Device B從公鑰文件中導入公鑰

# Device B從公鑰文件中導入Device A的主機公鑰。

<DeviceB> system-view

[DeviceB] public-key peer devicea import sshkey devicea.pub

4. 驗證配置

# 顯示Device B上保存的Device A的主機公鑰信息。

[DeviceB] display public-key peer name devicea

 

=============================================

Key name: devicea

Key type: RSA

Key modulus: 1024

Key code:

 

   30819F300D06092A864886F70D010101050003818D0030818902818100D584D31764E92A97

   11B6AE429BDF8A3C70D019D79D6F9905789E1020E5904121FB76261C48227451FE14B754EE

   1C0CBFCD96021B55D4E439F1377DBBE466323F7559ED7BC3BC94F7CA16362A9E0FB010567A

   F202B45906B71F90F75A09D72BA16EFB3F44D7B3AE90D450C4C72F478F57935FE4E8F6BFE1

   C2F404E7E8C13174790203010001

通過對比可以看出，Device B上保存的Device A的主機公鑰信息與Device A實際的主機公鑰信息一致。