Web 网管的开启与加固
图形界面适合快速巡检与值班操作：拓扑视图、端口状态、一键重启，学习成本比命令行低。代价是设备多开放了一组服务与端口，暴露面远大于仅开 SSH 的场景。原则很简单：能不开就不开；必须开时限定内网来源、只启 HTTPS、并用独立账号，三者缺一都可能把设备交给扫描器与字典攻击。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 华为命令 | http server enable / http secure-server enable |
| 思科命令 | ip http server / ip http secure-server，配合 ip http authentication local |
| H3C 命令 | ip http enable / ip https enable |
| 加固组合 | 只启 HTTPS、ACL 限制来源、独立低权限账号、必要时改默认端口 |
| 默认状态 | 多数平台默认关闭 Web 管理 |
典型使用场景
- 值班图形化巡检：非专业网络人员快速确认链路状态与告警
- 无命令行经验的团队：小规模网络中降低运维门槛
- 临时排障：图形界面查看端口统计与日志更直观
- 设备开局引导：部分设备的初始配置向导通过 Web 完成
- 受限环境：现场只有浏览器可用时的应急入口
华为 VRP
华为 VRP
[Huawei] http server enable # 启用 HTTP（建议只留 HTTPS）
[Huawei] http secure-server enable # 启用 HTTPS
[Huawei] acl number 2000
[Huawei-acl-basic-2000] rule 5 permit source 10.10.0.0 0.0.255.255
[Huawei-acl-basic-2000] quit
# 通过 http server acl 或管理 VPN 实例收敛来源（命令随版本略有差异）
<Huawei> display http server # 查看 Web 服务状态与来源限制思科 IOS
思科 IOS
SW-CORE-01(config)# ip http server # 开启 HTTP
SW-CORE-01(config)# ip http secure-server # 开启 HTTPS
SW-CORE-01(config)# ip http authentication local # 用本地账号认证
SW-CORE-01(config)# ip http access-class 10 # 用 ACL 限制来源
SW-CORE-01(config)# ip http max-users 3 # 限制并发会话数
SW-CORE-01# show ip http server status # 核对服务状态与端口H3C Comware
H3C Comware
[H3C] ip http enable # 启用 HTTP
[H3C] ip https enable # 启用 HTTPS（推荐只留这个）
[H3C] ip http acl 2000 # 限制来源（命令随版本不同）
[H3C] local-user webadmin class manage
[H3C-luser-manage-webadmin] service-type https
<H3C> display ip http # 查看 Web 服务状态三厂命令对照与加固项
| 项目 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| HTTP 开关 | http server enable | ip http server | ip http enable |
| HTTPS 开关 | http secure-server enable | ip http secure-server | ip https enable |
| 限制来源 | ACL + http server acl | ip http access-class | ip http acl |
| 认证方式 | 本地账号 + 权限级别 | ip http authentication local | local-user + service-type |
只开 HTTP 不开 HTTPS，登录口令全程明文传输，等同于把密码写在明信片上；Web 管理端口也是互联网扫描器的高频探测目标。生产设备的做法是：只启 HTTPS、ACL 只放行管理网段、使用独立低权限账号，并在防火墙侧一并收敛。