限制管理入口来源

把设备的登录入口限制在运维网段，是最基本也最有效的一条安全加固。做法是先写一条只放行运维网段的基本 ACL，再把它引用到管理线路上：华为与 H3C 在线路视图下用 acl 编号 inbound，思科在线路下用 access-class 编号 in。要特别注意这与接口上的流量过滤是两套独立配置——接口 ACL 管穿越设备的流量，线路 ACL 管的是登录到设备本身的连接，两者互不替代。

基本信息

典型使用场景

• 新设备开局按基线放开运维网段，收敛管理入口
• 安全整改时统一关闭管理面公网暴露，只留内网来源
• 堡垒机上线后把直连登录改成只允许堡垒机地址
• 出现异常登录尝试时快速收紧来源范围，作为应急处置
• 审计与等保检查前补齐管理面访问控制配置

华为 VRP

acl number 2000
 rule 5 permit source 10.0.0.0 0.0.0.255      # 运维网段
 rule 10 permit source 10.10.10.10 0          # 堡垒机地址
 rule 100 deny                                # 兜底拒绝其他来源
user-interface vty 0 4
 acl 2000 inbound                             # 限制登录来源
 authentication-mode aaa
 protocol inbound ssh

思科 IOS

ip access-list standard MGMT
 permit 10.0.0.0 0.0.0.255
 permit host 10.10.10.10
 deny   any
line vty 0 4
 access-class MGMT in        # 注意是 access-class，不是 access-group
 transport input ssh
 login local

H3C Comware

acl basic 2000
 rule 0 permit source 10.0.0.0 0.0.0.255
 rule 5 permit source 10.10.10.10 0
 rule 100 deny
line vty 0 4
 acl 2000 inbound
 authentication-mode scheme

三厂语法与位置对照

加固要点

• 先确认自己的管理地址在放行范围内再下发：配错会立刻把自己锁在设备外
• 保留一条已登录的会话或 Console 通道，另一条会话验证通过后再撤走临时通道
• 放行范围尽量精确到运维网段，不要图方便放行任意地址
• 管理面 ACL 与接口 ACL 分开维护：两者用途不同，混在一起改容易互相影响
• 配套设置登录超时与失败锁定，避免会话长期挂起或被反复尝试
• 把管理来源变更同步到监控与自动化平台，否则采集任务会集体失效

常见疑问

• 为什么配了 ACL 还能登录：检查引用方向与视图是否正确，以及在不在放行范围内
• 管理 ACL 会不会影响业务流量：不会，它只作用于登录到设备本身的连接
• 改了之后自己登不上了怎么办：用 Console 或带外通道登录，撤销引用或补上自己的来源
• 堡垒机与监控采集的地址要不要一起放行：要，漏掉监控地址会导致网管平台采集中断
• 多条线路 ACL 会不会互相覆盖：同一个线路视图下的引用按配置生效，变更时逐条核对