Local 区域加固是什么
Local 区域承载设备自身与管理面流量：SSH 登录、Web 控制台、SNMP 采集、日志外发、NTP 同步等都会匹配到目的区为 Local 的规则。把这些规则收窄是防管理面暴露的关键：只允许运维网段访问必要服务，关闭不再使用的协议。它的影响面也最大，一条规则写错就可能让自己失去登录途径，因此变更前必须保留可用的通道。
基本信息
| 管理流量 | SSH、HTTPS、SNMP、NTP、日志外发等进出设备自身的流量 |
|---|---|
| 加固动作 | 仅允许运维网段访问，关闭 Telnet、SNMP v1/v2c 等弱协议 |
| 核查命令 | 查看目的区为 Local 的规则清单与命中情况 |
| 双重约束 | 管理流量既受接口 ACL 约束，也受安全策略约束，两处要同时核对 |
| 变更保护 | 改动前保留已登录会话，改完立即用新窗口验证登录 |
典型使用场景
- 设备上线加固：按基线收窄 Local 区规则，关闭无用服务
- 等保整改：限制管理面来源并关闭明文协议
- 异常处置：发现异常登录尝试后临时收紧来源范围
- 网管对接：新增监控系统时按需放行 SNMP 或采集端口
- 变更前审查：改动 Local 区规则前先确认现有登录通道
收口示例（华为）
收口示例（华为）
system-view
security-policy
rule name mgmt-access
source-zone trust
destination-zone local
source-address 10.10.10.0 mask 255.255.255.0 # 只放运维网段
service ssh https snmp
action permit
quit
quit
display security-policy rule all # 核对目的区为 local 的规则清单管理面加固点
| 入口 | 加固动作 | 注意点 |
|---|---|---|
| SSH | 限制来源、禁用口令或强口令 | 先确认自己的来源在放行范围内 |
| Web 控制台 | 限制来源、改默认账号 | 关闭公网可达路径 |
| SNMP | 升级 v3 或只读并限源 | 网管系统需同步适配 |
| NTP | 限制可同步来源 | 时间源异常影响日志关联 |
| 日志外发 | 只放行到日志服务器 | 确认服务器侧接收正常 |
修改 Local 区规则属于高风险操作：先导出配置、保留一个已登录会话，改完立即用新会话验证登录，确认无误再关闭旧会话；无法远程恢复时只能到现场。