管理入口的爆破防护
设备管理端口暴露在公网上，被人拿字典反复试密码只是时间问题。三厂为此提供的原生能力并不对等：思科 IOS 有 login block-for，在统计窗口内失败次数超标后对整个登录入口静默一段时间，连运维自己也被挡住；H3C 用 password-control 按用户级别做失败锁定；华为主流 VRP 版本没有等价的一键命令，需要退回到 ACL 限制来源网段、强制强口令、并把失败日志接入告警这一套组合手段。选择哪种方式，取决于设备在网上的暴露面。
基本信息
| 适用场景 | 公网与边界设备的管理面加固 |
|---|---|
| 思科命令 | login block-for 秒数 attempts 次数 within 秒数 |
| H3C 命令 | password-control enable、password-control login-attempt |
| 华为手段 | ACL 限制管理来源 + 强口令策略 + 失败日志告警 |
| 配套措施 | 登录失败留日志、来源网段收敛、必要时经堡垒机接入 |
典型使用场景
- 边界设备管理口暴露：需要限制来源网段并给爆破行为设置代价
- 合规整改：等保要求对管理入口的连续失败尝试有应对机制
- 攻击事件响应：日志里出现大量登录失败记录后加固管理入口
- 运维规范落地：把管理入口收敛到跳板机网段，其余来源一律拒绝
- 风险隔离：为不同团队分别设置账号，出现异常时便于定位与停用
思科 IOS
思科 IOS
! 60 秒内失败 5 次，则所有登录来源静默 300 秒
SW-CORE-01(config)# login block-for 300 attempts 5 within 60
SW-CORE-01(config)# login delay 2 ! 每次登录尝试之间强制延迟
SW-CORE-01(config)# login on-failure log ! 失败尝试写入日志
SW-CORE-01# show login ! 查看当前是否处于静默期H3C Comware 与华为 VRP
H3C Comware 与华为 VRP
! H3C：按用户做失败锁定
[H3C] password-control enable
[H3C] password-control login-attempt 5 exceed lock-time 10 ! 5 次失败锁 10 分钟
! 华为主流 VRP 无等价一键命令，用 ACL 限制来源兜底
[Huawei] acl number 2000
[Huawei-acl-basic-2000] rule 5 permit source 10.10.0.0 0.0.255.255
[Huawei-acl-basic-2000] quit
[Huawei] user-interface vty 0 4
[Huawei-ui-vty0-4] acl 2000 inbound三厂防护能力对照
| 平台 | 原生机制 | 生效范围 | 注意事项 |
|---|---|---|---|
| 思科 IOS | login block-for | 全局登录入口 | 静默期内运维同样被挡，需预留窗口 |
| H3C Comware | password-control 系列 | 按用户与失败次数 | 需显式 enable 才会生效 |
| 华为 VRP | 无等价命令 | 依赖 ACL 与日志 | 以来源限制与强口令为兜底手段 |
| 通用补充 | 失败日志外发告警 | 全平台 | 为事后追踪提供依据 |
思科的 block-for 是全局机制：触发后所有来源都被静默，包含正在运维的自己。生产环境上线前要在变更窗口验证阈值和静默时长，避免把自己挡在门外。
锁定与静默只对新建登录生效，已经建立的会话不受影响。因此这类机制必须与日志审计、来源限制配合使用，单独依赖一项防护并不完整。