管理面访问控制是什么
管理面访问控制是限制谁能登录设备、用什么协议登录。安全设备的管理入口包括 SSH、Web（HTTPS）、SNMP 与 Console：其中 Console 属于物理通道，其余都要靠源地址限制与协议加固收敛。做法是三层叠加：管理入口划到独立管理网段、用 ACL 只放行运维网段、关闭明文与弱协议。设备管理流量既受接口 ACL 约束，也受安全策略中目的区为 local 的规则约束，两处要同时核对。
基本信息
| 加固对象 | SSH、Web/HTTPS、SNMP 与设备自身的登录界面 |
|---|---|
| 主要手段 | ACL 限制源地址 + 仅启用 SSH + 独立管理网段与跳板 |
| 华为关键命令 | user-interface vty 视图下 acl 编号 inbound，配合 protocol inbound ssh |
| H3C 关键命令 | user-interface vty 下 acl 关联与 authentication-mode 设置 |
| 核查方式 | display users 查看在线会话，比对登录源地址是否在允许范围内 |
典型使用场景
- 设备上线加固：关闭 Telnet，只保留 SSH 与 HTTPS 管理
- 运维区收口：只允许堡垒机与监控地址访问管理入口
- 等保测评整改：按测评项要求限制管理源地址并留存登录日志
- 应急处理：发现异常登录源后临时收紧 ACL 并排查凭据泄漏
- 多设备统一管理：把管理网段与访问规则固化为配置基线
华为 VTY 限制示例
华为 VTY 限制示例
system-view
acl number 2000
rule 5 permit source 10.10.10.0 0.0.0.255 # 先放行运维网段
rule 100 deny # 显式拒绝其余来源
quit
user-interface vty 0 4
acl 2000 inbound
protocol inbound ssh
quit
# 应用前务必确认自己的源地址在放行范围内管理入口加固对照
| 入口 | 主要风险 | 加固做法 |
|---|---|---|
| SSH | 口令爆破、弱口令 | 仅密钥或强口令，失败锁定，限定源地址 |
| Web 控制台 | 默认口令、界面漏洞 | 改默认账号，限制来源，保持版本更新 |
| SNMP | 团体字可读可写、信息泄漏 | 用 v3，禁用 v1/v2c 或改只读并限制来源 |
| Console | 物理接触即高权限 | 机柜上锁，串口线专用管理，登录留痕 |
| 告警外发 | 未加密链路 | 优先 TLS 或专用管理网络承载 |
配置 ACL 时务必先放行自己的运维源地址，再应用到 VTY；误封后远程会话中断，只能到现场用 Console 恢复。