/ip/ssh
ssh
SSH server settings (ciphers, forwarding, authentication) and the settings controlling how the router verifies remote servers when it connects as an SSH client. See SSH for the full guide.
ip/ssh
Type: Settings Directory
SSH 服务器设置（密码套件、转发、认证）以及控制路由器作为 SSH 客户端连接时如何验证远程服务器的设置。完整指南请参阅 SSH。
| 参数 | 类型 | 描述 |
|---|---|---|
ciphers | multi { array-id, cipher: enum (aes-gcm | aes-ctr | aes-cbc | 3des-cbc | null | auto) } | 允许的密码套件列表。 |
forwarding-enabled | enum (no | local | remote | both) | 控制允许使用哪种 SSH 转发方法：no - 禁用 SSH 转发，local - 允许 SSH 客户端从服务器（路由器）发起连接，这也控制动态转发，remote - 允许 SSH 客户端在服务器（路由器）上监听并转发入站连接，both - 允许本地和远程转发方法。 |
password-authentication | enum (yes | no | yes-if-no-key) | 当为用户配置了公钥授权时是否允许密码登录。 |
publickey-authentication-options | enum (none | touch-required | verify-required) | 公钥认证选项。touch-required 选项会使使用 FIDO 认证器算法的公钥认证始终要求签名证明物理存在的用户明确确认了认证（通常通过触摸认证器）。verify-required 选项要求 FIDO 密钥签名证明用户已验证，例如通过使用 PIN。 |
strong-crypto | bool | 使用更强的加密、HMAC 算法、更大的 DH 素数并禁止较弱的算法：使用 256 和 192 位加密代替 128 位，禁用空加密，使用 sha256 代替 sha1 进行哈希，禁用 md5，使用 2048 位素数代替 1024 位进行 Diffie-Hellman 交换。 |
known-hosts-validation | bool | 每当路由器作为 SSH 客户端连接时（fetch SFTP、/system/ssh、/system/ssh-exec），根据 known-hosts 中存储的密钥验证服务器的主机密钥。启用验证且没有存储匹配密钥时，交互式客户端会显示服务器的指纹并询问 do you want to trust this host key?，而非交互式命令会失败并显示 host key not trusted。新安装中验证已启用；升级的路由器保留之前的值。默认值：yes。 |
known-hosts-trusted-subnets | object { subnets: ip6Prefix } | 对于地址属于这些子网的服务器，即使启用了 known-hosts-validation，也跳过主机密钥验证。所列子网之外的主机仍会被验证。 |
host-key-size | enum (1024 | 1536 | 2048 | 4096 | 8192) { 1024:1024, 1536:1536, 2048:2048, 4096:4096, 8192:8192 } | 重新生成主机密钥时的 RSA 密钥大小。 |
host-key-type | enum (rsa | ed25519) { rsa:0, ed25519:3 } | 主机密钥类型。 |
| 只读参数 | 类型 | 描述 |
|---|---|---|
host-key-fingerprint | string | 当前主机密钥的指纹。可用于验证您连接的是正确的路由器。 |