Web 管理面为何要加固
设备 Web 管理界面是扫描器最容易命中的入口，默认端口、默认口令、明文 HTTP 长期是设备失陷的主因。加固目标可以归成三条：管理与业务分离（走管理网段或 VLAN）、入口加密（只开 HTTPS）、来源受限（只放行管理终端）。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服 AF/IPS 等带 Web 控制台的设备 |
|---|---|
| 加固项 | 启用 HTTPS 并关闭 HTTP、修改默认端口、限制管理来源网段 |
| 证书 | 用内部 CA 签发证书替换自签名证书，避免浏览器告警被习惯性忽略 |
| 配套 | 管理账号实名、口令策略、登录日志外发审计 |
典型使用场景
- 新设备上线：默认口令与默认端口必须在接入网络之前改完
- 等保整改：管理界面要求加密传输，并限制可访问管理面的终端来源
- 远程运维：只允许经堡垒机或 VPN 访问管理面，禁止管理端口暴露公网
- 多人运维：为每位管理员建独立账号，出问题时可追溯到人
- 告警治理：换成受信证书后浏览器不再报警，真正的异常告警才不会被忽略
华为设备示例
华为设备示例
system-view
web-manager enable # 开启 Web 管理
web-manager security enable # 管理流量走 HTTPS
web-manager port 8443 # 改掉默认端口
quit
# 命令族随版本不同（部分版本为 http server 系列），配置前用 ? 核对当前语法加固检查项
| 检查项 | 合格表现 | 常见不合格 |
|---|---|---|
| 传输加密 | 管理页面仅 HTTPS 可访问 | HTTP 端口仍然开放 |
| 管理来源 | 策略只放行管理网段 | 任意地址都能访问管理端口 |
| 账号 | 实名账号加强口令 | 沿用设备默认口令 |
| 证书 | 内部 CA 签发并可校验 | 自签名证书，浏览器持续告警 |
改端口与证书后立即验证登录入口，并把新入口登记到运维手册、监控项与堡垒机配置里，避免出现「加固完自己也进不去」的返工。