整改做法
整改做法
管理网段独立：仅允许运维网段访问管理端口
堡垒机接入：运维统一经堡垒机，双因素认证
设备侧：配置 ACL / trusted host 限制来源
审计：登录来源与操作全程留痕仅放行运维网段（示例）
仅放行运维网段（示例）
# firewalld：仅运维网段访问 SSH（示例网段 10.20.30.0/24）
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.20.30.0/24 service name=ssh accept'
firewall-cmd --reload
# sshd_config 再叠一层来源限制
AllowUsers ops01@10.20.30.*
# 验证：从非运维网段发起 SSH 应超时或被拒绝