中尔科普|等保测评·网络设备测评: H3C、华为、思科交换机与路由器查什么、怎么查、怎么留证

一、

网络设备测评的注意事项

“网络设备”在测评报告里是一个固定的测评对象类别，指的是承担数据转发和路由功能的设备，具体包括交换机、路由器、无线控制器。光纤收发器、光模块、配线架属于物理环境的布线范畴，不作为独立测评对象。

防火墙、入侵防御、WAF、上网行为管理、VPN 网关不在此列。这些设备在标准里归到“安全区域边界”或“安全设备”，测评项的取舍与网络设备差别较大——比如防火墙要查安全策略的默认拒绝、入侵防御要查规则库版本，网络设备没有这些内容。两类设备的表不能混用。

同一台设备可能被两个层面同时引用。核心交换机在“安全通信网络”里作为通信设备出现，在“安全计算环境”里又作为网络设备对象出现。前者问的是网络架构、带宽、冗余，后者问的是设备自身的身份鉴别、访问控制、审计。本文讨论的是后者。

第三级安全计算环境共 11 个控制点、35 个测评项。落到网络设备上，有 9 项属于不涉及，实际要逐项核查的是 26 项。

网络设备出厂时都不是“安全的”，但三家不安全的方式各不相同。弄清楚默认状态，现场就能预判哪些项一开始就不满足，也不会把出厂就有的能力当成整改成果。

把这三种姿态放在一起，能看出一条共同的线索：出厂状态没有一个能直接用，但缺的东西不一样。H3C 缺的是“打开总开关”，华为缺的是“把长度门槛提上去”，思科缺的是“整套账号与策略”。整改方案也因此完全不同——H3C 补一条 password-control enable 加几行策略参数，华为只需调整 min-len 与 expire，思科则要建账号、生成密钥、配 login block-for 一整套。

二、

登录网络设备：四种通路与常用命令

服务器只要有一台能访问的机器就能登录，网络设备不一定。核心交换机的管理地址常常只在一个特定网段里，测评终端接在办公网根本到不了；有些设备干脆没配管理地址，只能到机房插 console 线。现场第一步往往不是敲命令，而是先确定从哪台机器、走哪条路能进到设备。

实际作业中这四条路经常组合使用：先用 SSH 进设备敲命令、导配置，涉及图形化的策略页再开 Web 补充截图，遇到设备没开远程服务就去机房接 console。四条路走通哪条，直接决定了后面几项的判定方式。

不少甲方管理员平时就用 Web 界面管设备，测评时从 Web 上取策略截图反而更快。三家的服务开关与访问方式如下。

Web 界面上需要截图的位置比较固定：登录页的地址栏（说明管理地址与协议）、系统信息页（品牌型号版本）、管理员账户列表、口令策略设置页、日志查询页。其中地址栏里的 http:// 与 https:// 直接决定身份鉴别 c 项的判定，截图时不应裁掉这些字符。

进设备后先跑一组基础命令，把设备的身份信息固定下来。这组输出既是报告里“测评对象描述”的素材，也是后续所有判断的基准。

其中“当前配置”与“启动配置”要分开看。当前配置是内存里正在生效的，启动配置是下次重启会加载的。两者不一致，说明有人改了配置没保存，或者改了还没来得及保存。测评关注的是当前生效状态，但记录里注明“未保存”有价值——它解释了为什么重启后某些配置会消失。

这类设备在报告里会单独列为“仅通过 console 口管理的交换机”。它们往往有管理地址，但只允许本地登录，远程管理通道全部关闭。遇到这一类设备，有四件事要单独确认。

1. console 口是否配置了认证。如果 console 用户线的认证方式是 none，设备上又没有其他登录途径，那这台设备实际上没有身份鉴别。要通过 display current-configuration 查看 line console 或 user-interface con 0 段的认证方式。

2. 账号的 service-type 是否只开了 terminal。只允许 console 的设备，账号不应该带 telnet、ssh 服务类型。display local-user 或配置中的 local-user 段可以确认。

3. 身份鉴别 c 项（远程管理防窃听）判不适用。设备没有远程管理通道，就不存在鉴别信息在网络上传输的问题。报告中给出的理由需要落到具体条款，不能留空。

4. 入侵防范 c 项（管理终端限制）同样判不适用。没有远程管理，就不存在限制管理终端地址的问题。这两项在作业指导书里都明确写了可以判不适用。

三、

测评项、查询命令与配置基线对照表

以下三节按品牌分列，每节五张表，覆盖 1.2 节确定的 26 个测评项。列结构与前面服务器篇、数据库篇保持一致：“符合该测评项的配置”一列分两段，虚线上是判定依据，虚线下是整改时需要落到的具体配置命令。“设备初始默认配置”一列给出的都是出厂状态，没有经过任何加固。

H3C 的口令策略集中在一套 password control 体系里，但总开关出厂是关的。现场先看 display password-control 的第一行，若显示未使能，后面所有策略参数都不生效，身份鉴别 a、b 两项直接不满足。

华为的口令复杂度校验出厂就是开着的，这一点和 H3C 相反。但细看命令行会发现一个缺口：user-password min-len 的缺省值是 1。也就是说，复杂度校验只检查字符种类，不设长度门槛，配一位口令照样通过。现场判定要看这个参数被改成多少，而不是看到 complexity-check 就认为达标。

思科与前两家最大的不同，是没有一套集中式的口令策略体系。H3C 有 password control，华为有 local-aaa-server 下的几个策略参数，思科只有零散的几条全局命令：security passwords min-length 管长度、login block-for 管失败锁定、service password-encryption 管存储加密。这三条都不配，设备就处在无策略状态。现场看到 show running-config 里完全没有这几条命令，身份鉴别 a、b 两项通常直接判不符合。

四、

命令汇总

以下按品牌给出分类清单，可直接复制使用。H3C 与华为的命令多数可以简写，display 可写作 dis、current-configuration 可写作 cu；思科的 show running-config 常写作 show run。现场记录时建议写全称，避免不同版本对简写的支持不一致。

现场最常见的情形是刚做完一台华为，紧接着换成思科，命令一时接不上。下表把 15 个常用查询并排放置，可以先定位到行，再看对应的列。

把三家的命令放在一起看，差异集中在六处。按这几条对应关系，遇到陌生型号也能大致推出该用哪条命令。

五、

测评结果的获取与留存

网络设备的取证与服务器不同。服务器上可以把输出重定向成文件再拷走，交换机上多数没有这个能力；命令的输出只能留在屏幕上，或者导出到外部服务器。现场如果只截图不导配置，回来就会发现缺了某几项的原始输出，而设备又不方便再连一次。

一张能作为证据使用的截图，需要能单独说明三件事：哪台设备、执行的什么命令或打开了哪个界面、看到的是什么结果。缺任何一项，审核环节都可能要求补充。

• 命令行截图要带上提示符和命令本身。提示符里含设备主机名，是区分多台设备的唯一线索。只截输出结果、不截命令，回来无法证明这条结果对应哪条命令。

• 提示符上方要能看到登录信息。能证明是通过 SSH 还是 Telnet 登录的，这一条直接关系身份鉴别 c 项的判定。

• 图形界面截图要带浏览器地址栏。地址栏里的 http:// 与 https:// 是协议判定的直接依据，裁掉就失去意义。

• 版本信息单独截一张。display version 或 show version 的输出要包含型号、软件版本、序列号，这是测评对象描述的来源。

• 涉及策略参数的界面，把整页截全。口令策略、账户列表这类页面，截一半容易漏掉关键字段（比如锁定时间、有效期），补截的成本比一次截全高得多。

配置全文是最有分量的一份证据：它同时覆盖账号、口令策略、服务开关、ACL、日志配置、接口状态。三家设备的导出方式如下。

终端软件自带的日志功能是成本最低的取证手段：整个会话期间屏幕上出现的一切都被记录下来，包括命令、输出和提示符。三家设备都适用。

• SecureCRT：File → Log Session，或会话属性的 Log File 页设为自动开始记录。建议在日志内容里勾选“在每行前加时间戳”。

• Xshell：文件 → 日志 → 启动，或在会话属性的“日志记录”页配置自动记录与时间格式。

• PuTTY：Session → Logging，选 All session output，指定保存路径。

• 命令行：Windows 自带的 OpenSSH 没有日志功能，可以用 ssh admin@设备IP | tee 日志.txt（在 Git Bash 或 PowerShell 中），把输出同时写屏与写文件。

日志文件按“设备 IP + 日期”命名，一台设备一个文件。多台设备混在一个文件里，回来切分比重新连一遍还费时间。

审计项要求日志留存不少于 6 个月。设备自身的缓冲区远远达不到这个量级，取证时要同时取两处：

1. 设备缓冲区日志。用 display logbuffer 或 show logging 看当前缓冲区里留了什么、留了多久、级别够不够。这一段证明设备本身开启了审计功能。

2. 日志服务器上的记录。到 syslog 服务器或日志审计设备上，按设备 IP 过滤出该设备的日志，截取最早的时间点，证明留存时长达到 6 个月。这一段证明审计记录得到了保护与备份。

只有第一段，审计 c 项不能判符合——缓冲区重启即清空，不构成“避免未预期的删除、修改或覆盖”。两段都取到，该项才算完整。

六、

几个容易判错的地方

以下七处是网络设备测评中容易出现判断偏差的地方，共同点是“只看一个信号就下结论”。

1. H3C 的 password control 子项显示 Enabled，不等于策略生效。display password-control 首行是总开关状态，后面几行是子项。子项缺省就是 Enabled，但总开关没开时一个都不起作用。判定依据应取首行的总开关状态，不能看到后面“Password aging: Enabled (90 days)”这行就认为已配置有效期。

2. 华为的复杂度校验开着，不等于有长度要求。user-password complexity-check 缺省启用，只检查字符种类；长度由 min-len 控制，缺省值是 1。两个参数要一起看，只看前者会漏掉“一位口令也能通过”这个事实。

3. Telnet 关了，不等于远程管理防窃听达标。还要看 HTTP 是否开着。H3C 与华为的 Web 服务缺省关闭，但现场为方便管理开启 HTTP 的情况很常见。只要还有一个明文管理通道，这一项就不满足。

4. console 口没有认证，就是没有身份鉴别。不能因为“机房有门禁、只有运维能进去”就认为物理防护替代了身份鉴别。设备侧没有账号口令校验，身份鉴别 a 项应判不符合。

5. 日志外发了，不等于留存满 6 个月。还要看外发级别是否够低（级别设成 warning，登录与操作就传不出去）、服务器存储是否够、有没有断档。服务器上只能查到最近一个月的记录，照样不满足。

6. 思科的 service password-encryption 不是安全存储。它只把 type 0 的明文转成 type 7 的可逆加密，网上有现成工具可还原成明文。数据保密性 b 项的判定要看账号是否用 secret 创建（type 5 或 9），而不是看这条命令有没有配。

7. 配置里写了堆叠，不等于热冗余成立。要看成员是否真的在线、堆叠口是否真的连了、主备是否能切换。display irf、display stack、show switch 的输出里成员状态为 down 或其他异常，就说明冗余只是纸面上的。