华为路由器基线安全加固：口令策略、Console 权限、SSH 加密登录改造

admin

华为路由器基线安全加固方案

一、口令策略加固

1. 密码复杂度要求

• 密码长度：设置最小密码长度为8个字符
  
• 密码组成：必须包含大写字母、小写字母、数字和特殊字符中的至少三类
  
• 配置命令：
  

1. system-view
2.   password-policy
3.    minimum-length 8
4.    require-character-type at-least 3 [alphabet | digit | special_character]  # 具体根据版本支持
5.   # 或分项设置（不同版本命令可能不同）
6.   # aaa
7.   #  local-user user-name password ...（配合复杂度策略）

复制代码

2. 密码生命周期

• 密码最大有效期：建议设置为90天
  
• 密码历史记录：禁止重复使用最近5次使用过的密码
  
• 配置命令：
  

1. password-policy
2.    aging 90
3.    history 5

复制代码

3. 账户锁定策略

• 失败尝试次数：连续5次失败登录后锁定账户
  
• 锁定时间：建议锁定15分钟
  
• 配置命令：
  

1. user-interface con 0  # 或vty等
2.    authentication-mode scheme
3.    # 然后在AAA视图配置具体策略或使用：
4.    # set authentication password fail-times 5 lock-time 15（具体命令依版本）

复制代码

二、Console权限控制

1. 限制Console访问

• 物理访问控制：确保Console端口物理安全，仅授权人员可接触
  
• 超时设置：Console会话空闲超时自动断开
  

1. user-interface con 0
2.    idle-timeout 5 0  # 5分钟超时

复制代码

2. 权限分级管理

• 用户角色划分：根据职责分配不同权限级别（如0-15级）
  
• 配置示例：
  

1. local-user admin class manage  # 管理级用户
2.    password ...
3.    service-type ssh terminal  # 或根据需要限制
4.    authorization-attribute user-role network-admin  # 或特定角色

复制代码

3. 禁用不必要的服务

• 关闭Console端不必要的服务或调试功能
  

三、SSH加密登录改造

1. 禁用Telnet，启用SSH

• 关闭Telnet：
  

1. undo telnet server enable

复制代码

• 启用SSH服务器：
  

1. stelnet server enable  # 或ssh server enable（依版本）
2.   rsa local-key-pair create  # 生成RSA密钥对

复制代码

2. SSH配置

• SSH版本：强制使用SSHv2
  

1. ssh user user-name authentication-type password  # 或更安全的publickey
2.   ssh server compatible-ssh1x disable  # 禁用SSH1.x

复制代码

• 用户认证：推荐使用密钥认证，密码认证作为备用
  

1. ssh user user-name service-type stelnet
2.   # 密钥对生成与分发需在客户端和路由器间完成

复制代码

3. 访问控制

• 限制SSH访问源IP：
  

1. acl number 3000
2.    rule 5 permit ip source 192.168.1.0 0.0.0.255
3.   #
4.   user-interface vty 0 4
5.    acl 3000 inbound
6.    authentication-mode aaa
7.    protocol inbound ssh

复制代码

4. 会话超时与并发控制

• 会话超时：
  

1. user-interface vty 0 4
2.    idle-timeout 10 0  # 10分钟超时

复制代码

• 最大并发会话：限制同时SSH连接数
  

1. ssh server session-limit 5  # 依版本支持

复制代码

四、其他安全建议

• 定期审计与日志：
  
• 启用并定期检查系统日志，监控异常登录行为
  
• 配置日志服务器，集中管理日志
  
• 固件更新：
  
• 定期检查并更新路由器固件，修复已知安全漏洞
  
• 备份配置：
  
• 定期备份路由器配置，以便快速恢复
  
• 禁用默认账户：
  
• 修改或禁用默认管理员账户，使用自定义账户名
  

通过以上措施，可以显著提升华为路由器的安全性，防止未授权访问和数据泄露。实施后应定期进行安全审计，确保策略持续有效。