S5590交换机在等保检测中扫出SSH 服务支持弱加密算法

S5590 V7 Comware 修复 SSH 弱加密算法漏洞完整配置方案
一、漏洞根源说明
H3C Comware V7 交换机 SSH 服务默认兼容全量加密套件（包含3des-cbc/aes128-cbc/blowfish-cbc/arcfour等等保认定弱算法），扫描工具协商到弱加密套件即报漏洞；设备无 sshd 配置文件，通过系统 SSH 服务命令过滤仅保留强加密、强 MAC、强密钥交换算法。
设备信息：S5590 Comware 7.1.070 V6.0R04F04SP09
二、完整修复配置（直接复制执行）
1. 限制 SSH 仅使用安全加密套件（Ciphers）
仅保留 CTR/GCM/ChaCha20 高强度加密，剔除所有 CBC/3DES/arcfour 弱算法
plaintext
system-view
# 配置SSH服务允许的安全加密算法列表
ssh server cipher aes128-ctr aes192-ctr aes256-ctr aes128-gcm aes256-gcm chacha20-poly1305
2. 限制 MAC 完整性校验算法，剔除 md5/sha1 弱哈希
plaintext
# 仅保留sha2系列强MAC算法
ssh server mac hmac-sha2-256 hmac-sha2-512
3. 限制密钥交换算法，移除弱交换套件
plaintext
# 禁用diffie-hellman-group1/14等弱密钥交换，仅使用ECDH、X25519
ssh server key-exchange x25519-sha256 ecdh-sha2-nistp256 ecdh-sha2-nistp384 ecdh-sha2-nistp521 diffie-hellman-group-exchange-sha256
4. 配套加固（等保额外加分项）
① 关闭 SSH1 协议，仅强制 SSH2
plaintext
ssh server compatible-ssh1x disable
② 限制 SSH 登录超时、失败锁定防暴力破解
plaintext
# 闲置5分钟自动断开SSH
ssh server idle-timeout 300
# 密码连续错误5次锁定10分钟
ssh server authentication-retries 5
ssh server lock-timeout 600
③ VTY 线路仅允许 SSH 登录，彻底禁用明文 Telnet
plaintext
user-interface vty 0 63
authentication-mode scheme
protocol inbound ssh
5. 保存配置永久生效
plaintext
save
三、配置验证命令
1. 查看 SSH 加密套件限制是否生效
plaintext
display current-configuration | include ssh server
输出必须包含 cipher/mac/key-exchange 三条限制命令。
2. 本地测试 SSH 协商（确认无弱算法）
使用 Xshell/SecureCRT 手动指定弱算法连接，设备直接拒绝握手即修复完成：
plaintext
# Linux测试命令，强制使用弱3des-cbc算法连接，会握手失败
ssh -c 3des-cbc admin@10.104.55.7
预期结果：no matching cipher found，代表弱算法已拦截。
四、老旧客户端兼容说明
仅老旧工控 / 运维终端（老旧 SecureCRT6.x、旧 Linux）仅支持 CBC 弱算法，配置后会无法 SSH 登录；
兼容方案：升级客户端工具至新版（Xshell7、SecureCRT9、OpenSSH7.4+），支持 CTR/GCM 强加密；
特殊场景临时兼容：不推荐，等保会复测告警，仅应急临时放开，整改完成立即删除。
五、等保复测避坑要点
只配 cipher 加密不够，MAC、key-exchange 必须同步限制，扫描工具会分别检测三类套件，缺一条仍报漏洞；
配置完成无需重启设备，SSH 服务实时加载新算法列表；
若复测仍告警：检查是否存在备用 VTY 线路、是否配置 ACL 放行老旧弱算法客户端；
固件版本无需升级，V6.0R04F04SP09 完整支持ssh server cipher/mac/key-exchange全套过滤命令。
六、完整一键复制脚本
plaintext
system-view
ssh server cipher aes128-ctr aes192-ctr aes256-ctr aes128-gcm aes256-gcm chacha20-poly1305
ssh server mac hmac-sha2-256 hmac-sha2-512
ssh server key-exchange x25519-sha256 ecdh-sha2-nistp256 ecdh-sha2-nistp384 ecdh-sha2-nistp521 diffie-hellman-group-exchange-sha256
ssh server compatible-ssh1x disable
ssh server idle-timeout 300
ssh server authentication-retries 5
ssh server lock-timeout 600
user-interface vty 0 63
authentication-mode scheme
protocol inbound ssh
return
save