Console 口为什么要配密码
Console 口是设备失联后唯一还能用的管理通道，同时它的物理入口就在机房里：谁能碰到设备，谁就能拿到命令行。给它加密码是物理安全的基本要求，但口令本身必须纳入密码管理系统登记——设备一旦因为配置错误、密码遗忘导致远程和本地都进不去，就只能走密码恢复流程，而恢复过程通常要求重启设备，等于业务中断。所以 Console 加固的原则是设密码、记密码、留一个还能用的会话。
基本信息
| 适用场景 | 机房物理安全、带外应急维护 |
|---|---|
| 三厂视图 | 都是 user-interface console 0（思科为 line console 0） |
| 配套项 | 认证方式、密码、空闲超时、日志记录 |
| 安全要求 | 口令登记入库，避免出现无人可进的黑色设备 |
典型使用场景
- 设备上架验收：开局阶段把 Console 认证一并配置，避免裸配遗留
- 等保与内审整改：要求所有可物理接触的调试口必须做身份认证
- 交接运维：把 Console 口令随设备交付资料一并登记，避免换人后失联
- 遗留设备排查：部分老设备远程口被关闭，只能通过 Console 接入检查
- 故障应急：远程不通时用 Console 确认设备是否还活着、卡在哪个阶段
华为 VRP
华为 VRP
[Huawei] user-interface console 0
[Huawei-ui-console0] authentication-mode password
[Huawei-ui-console0] set authentication password cipher Cons0le@2026
[Huawei-ui-console0] idle-timeout 5 0 ! 5 分 0 秒无操作自动登出
[Huawei-ui-console0] quit思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科 IOS
SW-CORE-01(config)# line console 0
SW-CORE-01(config-line)# password Cons0le@2026
SW-CORE-01(config-line)# login
SW-CORE-01(config-line)# exec-timeout 5 0
! H3C Comware
[H3C] user-interface console 0
[H3C-ui-console0] authentication-mode password
[H3C-ui-console0] set authentication password cipher Cons0le@2026三厂配置对照
| 配置项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 进入视图 | user-interface console 0 | line console 0 | user-interface console 0 |
| 指定认证方式 | authentication-mode password | login | authentication-mode password |
| 设置密码 | set authentication password cipher | password | set authentication password cipher |
| 空闲超时 | idle-timeout 5 0 | exec-timeout 5 0 | idle-timeout 5 0 |
华为与 H3C 部分版本要求先执行 authentication-mode 才接受设置密码的命令；如果密码命令报错，先确认认证方式是否已经指定。
改 Console 认证配置时，不要在当前会话直接断开验证。保留现有会话，另外开一个串口或终端连接确认新配置生效且能正常登录，再关闭旧会话。