從一條連線，開始練習。

PC1/PC2、R1、SW1依表在同VLAN25。先以Console設定R1 Gi0/0 192.168.25.1/24、no shutdown；不要關閉目前唯一管理連線。備份原VTY/Console與AAA設定；若已使用aaa new-model，需按現有AAA設計，不能直接套本題login local。

enable
show running-config | section line
show running-config | include aaa
show ip interface brief

無未知AAA相依，Console可操作並記錄原設定。

先給hostname與domain name。crypto key generate rsa進入互動時選2048位元或平台/政策允許更強值；若已存在正式RSA keys，不自動覆蓋，以免影響其他服務。舊IOS缺少現代演算法時應更新，不永久降低client安全政策。

configure terminal
hostname R1
ip domain-name ccna.test
crypto key generate rsa
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 2
end

show ip ssh顯示SSH2 enabled；RSA模數需依互動確認。

在Console依本平台支援的username secret及enable secret語法，建立唯一labadmin帳號與自己選的長隨機secret。本頁不內建公開預設密碼，也不把<密碼>placeholder混入可複製命令。privilege15代表完整管理權，僅在自己的實驗管理員需要時授予；可先以?確認hash/secret支援。 IOS 全域設定語法範本（尖括號必須替換，不要連同括號輸入）：username labadmin privilege 15 secret <你私有的長密碼>；enable secret <另一組私有長密碼>。用 show running-config | include ^username 檢查帳號存在（勿公開輸出 hash）；只有 ? 的求助輸出不能作為帳號已建立的證據。

configure terminal
username ?
enable secret ?
end

完成後可用自己的帳號登入；不可把語法查詢當帳號已存在。

僅在上一步帳號已建立且已確認本平台VTY0-4範圍時套用；若有5-15，需同樣配置所有存在的VTY線路。login local使用本地user資料庫，exec-timeout單位分鐘/秒，logging synchronous只是顯示整理。

configure terminal
line console 0
login local
exec-timeout 10 0
logging synchronous
line vty 0 4
login local
transport input ssh
exec-timeout 10 0
end

所有實際存在的VTY只接受SSH；Console使用local驗證。

Windows/Linux具OpenSSH client時使用ssh labadmin@192.168.25.1。第一次host-key fingerprint需與Console顯示/受信管道比對，不直接跳過。嘗試Telnet應無法建立管理session；不要因此安裝不必要的Telnet服務。

ssh labadmin@192.168.25.1

輸入自己的私有密碼後可登入；host key經核對。

Console執行show ip ssh、show users與show line確認；在新session可操作後才保存。回復需經Console依原記錄調整line/AAA，不因暫時SSH相容性問題開放公網Telnet。

show ip ssh
show users
show line
copy running-config startup-config

SSH登入成功且session來源正確，設定已保存。