830 是什么
830 是 NETCONF over SSH 的标准端口（RFC 6242）：网络设备通过它接受结构化配置读写，配置用 YANG 模型描述，自动化平台据此下发与核对配置，取代逐条命令的交互方式。另一种形态把 NETCONF 承载在 TLS 之上，使用独立的端口。
与命令行接口的分工
设备上这两套接口通常并行存在：命令行面向人工操作，NETCONF 面向自动化平台，两者的权限模型并不相同。自动化任务失败时，先确认服务是否启用、访问控制是否放行，再看账号权限，顺序不要颠倒。
基本信息
| 服务 | NETCONF over SSH |
|---|---|
| 协议 | TCP 830，注册含 UDP |
| 规范 | RFC 6242（映射方式） |
| 另一形态 | NETCONF over TLS，使用独立端口 |
| 安全等级 | 仅自动化平台网段 |
典型使用场景
- 自动化平台批量下发与核对设备配置
- 采集设备状态与接口信息，形成结构化数据
- 配置变更前获取候选配置并校验差异
- 排查自动化任务失败时确认服务与访问控制
- 安全核查时确认该端口是否只对自动化平台开放
连通与能力检查
连通与能力检查
nc -zv switch01 830 # 端口连通性
# 用 SSH 子系统方式进入会话，确认设备上报的能力集
ssh -s netconf user@switch01设备侧启用要点
设备侧启用要点
# 华为设备需在系统视图下启用 NETCONF，并限制允许登录的来源
# 思科设备需开启相应的 NETCONF 服务
# 不同厂商与版本的命令差异较大，以对应版本官方手册为准接口对照
| 接口 | 面向 | 说明 |
|---|---|---|
| 命令行接口 | 人工操作 | 逐条命令，交互式 |
| NETCONF over SSH | 自动化平台 | 结构化配置读写，本端口 |
| NETCONF over TLS | 自动化平台 | 另一承载形态，端口独立 |
权限模型差异容易被忽略：命令行能执行的命令不代表通过 NETCONF 也能操作，反之亦然。自动化账号应按最小权限单独规划，而不是直接复用管理员账号。
自动化通道一旦被滥用，可以批量改动大量设备配置：来源限制与服务启停都要纳入变更管理，避免出现「以为没启用、其实一直对外开放」的情况。