为什么必须管 Console 口
Console 是设备的带外入口：网络断了、配置改错了、SSH 进不去，都得靠它。它同时也是物理接触者最容易滥用的入口——一根 USB 转串口线插上去就能进用户视图，所以口令、超时、权限级别三件事必须一起配，缺任何一项都等于把设备敞开在机柜里。
基本信息
| 适用平台 | 华为 VRP（user-interface console 0）、思科 IOS（line console 0）、H3C Comware（line aux 0 代表 Console） |
|---|---|
| 必配三件套 | 认证口令、登录后权限级别、空闲超时 |
| 推荐超时 | 5-10 分钟（idle-timeout / exec-timeout） |
| 权限建议 | Console 给受限账号，不直接给管理级 |
| 风险点 | 超时配 0 = 永不登出，物理接触即可长期占用会话 |
典型使用场景
- 设备开局调测：没有管理网络时唯一的配置入口，口令必须在交付前设好
- 带外救援：管理网故障或 ACL 把自己挡在外面时，从 Console 进设备恢复
- 机房现场运维：值班人员现场排障登录，超时设置防止会话长期挂着
- 物理安全兜底：机柜上锁之外，控制台口令是防止未授权接触的最后一道门槛
- 审计与合规：基线检查会逐条核对 Console 的认证方式、超时与权限级别
华为 VRP
华为 VRP
[Huawei] user-interface console 0 # 进入 Console 用户界面
[Huawei-ui-console0] authentication-mode password # 使用口令认证
[Huawei-ui-console0] set authentication password cipher Console@123 # cipher 表示密文存储
[Huawei-ui-console0] idle-timeout 5 0 # 空闲 5 分 0 秒后登出
[Huawei-ui-console0] user privilege level 1 # 限制登录后权限级别
<Huawei> display user-interface console 0 # 查看当前 Console 界面配置思科 IOS
思科 IOS
SW-CORE-01(config)# line console 0
SW-CORE-01(config-line)# password Console@123
SW-CORE-01(config-line)# login # 不加 login 口令不会被要求输入
SW-CORE-01(config-line)# exec-timeout 5 0 # 5 分 0 秒空闲超时
SW-CORE-01(config-line)# logging synchronous # 日志刷屏不打乱正在输入的命令
SW-CORE-01(config)# line aux 0
SW-CORE-01(config-line)# no exec # 不用的 AUX 口直接关闭登录
SW-CORE-01# show line console 0 # 查看当前生效的线路参数H3C Comware
H3C Comware
[H3C] line aux 0 # Comware 中 Console 对应 line aux 0
[H3C-line-aux0] authentication-mode password # 口令认证
[H3C-line-aux0] set authentication password simple Console@123 # simple/cipher 按版本选择
[H3C-line-aux0] idle-timeout 5 0
[H3C-line-aux0] user-role network-admin # 指定登录后的角色
<H3C> display line aux 0 # 查看 Console 线路配置三厂 Console 命令对照
| 配置项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 进入界面 | user-interface console 0 | line console 0 | line aux 0 |
| 认证方式 | authentication-mode password | password + login | authentication-mode password |
| 设置口令 | set authentication password cipher | password | set authentication password simple/cipher |
| 空闲超时 | idle-timeout 5 0 | exec-timeout 5 0 | idle-timeout 5 0 |
| 查看命令 | display user-interface console 0 | show line console 0 | display line aux 0 |
华为与 H3C 的 set authentication password 在较老版本里是交互式输入（敲命令后提示再输一次口令），新版本可用 cipher/simple 关键字直接写在命令里；脚本化下发配置时要用后一种写法，否则脚本会卡在提示符。
设备投产后不要把 Console 的空闲超时设成 0（永不超时），也不要在 Console 上保留出厂默认口令。这两点在安全基线扫描里都是明确的不符合项。