VTY ACL 是什么
VTY（虚拟终端）是 SSH/Telnet 登录设备的入口通道，限制 VTY 的源地址等于「只有管理网段的人能登录设备」。做法固定为两步：先建一条只放行管理网段的 ACL，再把 ACL 绑到 VTY 用户界面上。因为 ACL 隐含最后一条「拒绝全部」，绑定动作会立刻改变登录行为，必须先把当前运维来源写进放行列表。
基本信息
| 适用设备 | 全部设备（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 核心两步 | 建基础 ACL → 绑定 VTY 用户界面 |
| 基础 ACL 号段 | 华为/H3C 2000-2999；思科标准 ACL 1-99 或命名 ACL |
| 作用范围 | 仅影响登录设备的流量，不限制穿越流量 |
| 安全等级 | 设备放公网前的必备加固项 |
典型使用场景
- 设备要放公网或上联互联网前，收敛管理面入口
- 只允许堡垒机/跳板机地址登录，其他来源一律拒绝
- 安全加固与等保审计项落地：登录来源可控、可举证
- 排障期临时放开一个办公网段，处理完再收回
- 外协/第三方需要临时访问时，用独立 ACL 条目限源并到期删除
华为 VRP
华为 VRP
[Huawei] acl number 2000
[Huawei-acl-basic-2000] rule 5 permit source 10.10.0.0 0.0.255.255 # 放行管理网段
[Huawei-acl-basic-2000] quit
[Huawei] user-interface vty 0 4
[Huawei-ui-vty0-4] acl 2000 inbound # 绑定入方向
[Huawei-ui-vty0-4] quit
display acl 2000 # 核对规则与命中计数思科 IOS
思科 IOS
SW-CORE-01(config)# ip access-list standard MGMT-IN
SW-CORE-01(config-std-nacl)# permit 10.10.0.0 0.0.255.255
SW-CORE-01(config-std-nacl)# exit
SW-CORE-01(config)# line vty 0 4
SW-CORE-01(config-line)# access-class MGMT-IN in
SW-CORE-01(config-line)# end
SW-CORE-01# show ip access-lists MGMT-INH3C Comware
H3C Comware
[H3C] acl basic 2000
[H3C-acl-ipv4-basic-2000] rule 5 permit source 10.10.0.0 0.0.255.255
[H3C-acl-ipv4-basic-2000] quit
[H3C] user-interface vty 0 4
[H3C-ui-vty0-4] acl 2000 inbound
[H3C-ui-vty0-4] quit
display acl 2000三厂语法对照
| 操作 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 建基础 ACL | acl number 2000 | acl basic 2000 | ip access-list standard MGMT-IN |
| 写放行规则 | rule 5 permit source 10.10.0.0 0.0.255.255 | rule 5 permit source 10.10.0.0 0.0.255.255 | permit 10.10.0.0 0.0.255.255 |
| 绑定 VTY | user-interface vty 0 4 下 acl 2000 inbound | 同华为：acl 2000 inbound | line vty 0 4 下 access-class MGMT-IN in |
| 查看 | display acl 2000 | display acl 2000 | show ip access-lists MGMT-IN |
| 解绑 | undo acl 2000 inbound | undo acl 2000 inbound | no access-class MGMT-IN in |
通配符掩码三家写法一致：0 表示该位必须匹配，1 表示任意。10.10.0.0 0.0.255.255 等价于 10.10.0.0/16；不要与子网掩码混写，这是最高频的口算错误。
绑定前先用另一窗口验证新来源能登录：保留一个已登录会话，成功后再关掉旧窗口。配置写错又没有带外通道时，只能到现场用 Console 口救援。
只做源地址限制时用基础 ACL 就够，不必建 3000 段高级 ACL；管理面本身的流量不受接口方向 ACL 影响，必须靠 VTY 或 SNMP 的 ACL 控制。