SSH是一个好的应用程序，在正确使用时，它可以弥补网络中的漏洞。但是当SSH的攻击导致CPU利用率突发增高时，让我们看看如何处理。

网络环境

网络中运行的路由器出现CPU使用率突发增高现象，同时出现以下告警信息：
 

Current FSM is : SSH_Main_VersionMatch  
%Sep 14 03:49:37 2006 NE40-A-ZZ1 SSH/5/fsm_move:FSM MOVE FROM SSH_Main_VersionMa  
tch TO SSH_Main_Disconnect  
%Sep 14 03:49:37 2006 NE40-A-ZZ1 SSH/5/ver_major_err:Protocol major versions dif  
fer: 1 vs. 2  
%Sep 14 03:49:37 2006 NE40-A-ZZ1 SSH/5/err_dissconnect:The connection is closed  
by SSH Server  
Current FSM is : SSH_Main_VersionMatch  
%Sep 14 03:49:37 2006 NE40-A-ZZ1 SSH/5/fsm_move:FSM MOVE FROM SSH_Main_VersionMa  
tch TO SSH_Main_Disconnect  
%Sep 14 04:15:50 2006 NE40-A-ZZ1 SSH/5/fsm_move:FSM MOVE FROM SSH_Main_Connect T  
O SSH_Main_VersionMatch  
%Sep 14 04:15:50 2006 NE40-A-ZZ1 SSH/5/ver_major_err:Protocol major versions dif  
fer: 1 vs. 2  
%Sep 14 04:15:50 2006 NE40-A-ZZ1 SSH/5/err_dissconnect:The connection is closed  
by SSH Server 

网络中的路由器组网图

故障分析

根据告警的提示信息，分析可能原因是由SSH的攻击导致的。

在SSH会话过程中，服务器端与客户端经过以下五个阶段建立安全通道:

版本号协商

密钥算法协商

认证方法协商

会话请求

交互会话

由于路由器上支持的是SSH1.5版本，而SSH客户端使用的是SSH 2.0版本。客户端与路由器SSH版本，因此设备会产生SSH版本不匹配的告警。

SSH会话一直处在版本号协商阶段，会导致CPU突发性增高的现象。

操作步骤

步骤 1     执行命令system-view，进入系统视图。

步骤 2     执行命令user-interface[ vty ] first-ui-number [last-ui-number ]，进入VTY用户界面视图。

步骤 3     执行命令protocol inbound telnet，配置所在用户接口支持的协议为Telnet。

配置完成后，用户接口支持的协议，即只接受Telnet用户，不接受SSH用户。因此不再告警，CPU使用率下降，问题得以解决。

----结束

案例总结

SSH攻击工具在网上有很多，且攻击源也很多。如果没有SSH登录的需求，建议平时只允许telnet登录，避免路由器遭受SSH攻击，导致CPU使用率增高。

【编辑推荐】

1. 通过四步防御SSH攻击
2. 如何无需密码进行SSH连接
3. 如何建立SSH加密的MySQL复制