等保测评命令——ZTE中兴网络设备
北京路劲科技
北京路劲科技
北京路劲科技有限公司
2026年10月13日 17:29
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
本文整理了ZTE（中兴）ZXR10系列网络设备在等保测评中的常用检查命令，覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据备份与恢复等7个安全控制点。每条命令均包含达标判据与整改建议，并附有一键巡检脚本与高风险核查清单，帮助测评人员高效完成测评工作。
⚠️ 免责声明：本文命令整理依据 GB/T 22239-2019、GB/T 28448-2019 标准，但不同厂商产品版本、配置方式存在差异。文中命令仅供参考，实际测评请以标准原文及测评机构要求为准。执行命令前请确认权限与环境，避免因操作失误导致业务中断。
一、身份鉴别
对应条款 8.1.4.1 / 8.1.2.4
1.1 账户唯一性与密码策略
本地用户账户
display local-user
✓ 达标判据 无冗余/测试账户，每个账户均绑定明确角色
超级密码配置
display current-configuration | include cipher
✓ 达标判据 已配置 super 口令
密码加密
display current-configuration | include cipher
✓ 达标判据 已启用密码加密存储
密码策略
display current-configuration | include password
✓ 达标判据 已配置密码复杂度、最小长度≥8、有效期≤90天
用户角色
display local-user
✓ 达标判据 按最小权限分配角色（如 viewer/operate/admin/super）
▸ ZTE中兴设备特有配置
# 查看用户名及角色分配display local-user# 查看超级口令配置display current-configuration | include cipher# 查看密码策略（复杂度、长度、有效期）display current-configuration | include password display current-configuration | include password-policy# 查看AAA认证方案display aaa
1.2 登录失败处理与会话超时
登录失败锁定
display current-configuration | include authentication
✓ 达标判据 已配置登录失败锁定（配合AAA认证）
会话超时（VTY）
display user-interface vty
✓ 达标判据 VTY线路超时时间 ≤ 10分钟
会话超时（Console）
display user-interface console
✓ 达标判据 Console线路超时时间 ≤ 10分钟
绝对超时
display current-configuration | include timeout
✓ 达标判据 存在绝对超时配置
▸ ZTE中兴设备特有配置
# 查看VTY线路超时配置display user-interface vty# 查看Console线路配置display user-interface console# 查看全局超时设置display current-configuration | include timeout display current-configuration | include exec-timeout# 查看AAA认证配置display current-configuration | include authentication# 查看当前活跃会话display users# 查看线路状态display line
1.3 远程管理安全
# 查看SSH服务状态及版本display ssh server status# 查看SSH密钥信息display crypto local-key-pair public-key display current-configuration | include crypto key# 查看Telnet服务状态（应关闭）display current-configuration | include telnet display current-configuration | include ftp server# 查看HTTP/HTTPS服务display http server status display https server status display current-configuration | include http# 查看SNMP服务（版本及团体字）display snmp-agent display snmp-agent group display snmp-agent sysinfo# 查看FTP/TFTP服务display ftp server status display tftp server status# 查看当前监听端口display tcp info display udp info display current-configuration | include telnet# 查看高危服务是否关闭display current-configuration | include ftp server display current-configuration | include tftp server display current-configuration | include http
高风险项：Telnet开启、SNMP v1/v2c使用默认团体字（public/private）、HTTP明文管理开启、FTP/TFTP服务开启，直接判定不符合三级要求。
1.4 双因子认证（高风险项）
测评方法：访谈确认是否采用组合认证技术（如\"本地口令 + AAA（RADIUS/TACACS+）/证书认证\"）。
▸ 核查命令
# 查看AAA方案及认证域display aaa display current-configuration | include aaa# 查看RADIUS服务器配置display radius-server display current-configuration | include radius# 查看TACACS+服务器配置display tacacs+ display current-configuration | include tacacs# 查看LDAP认证配置display ldap display current-configuration | include ldap# 查看PKI/证书配置display pki display certificate local display current-configuration | include certificate# 查看802.1X认证（接入层）display dot1x display dot1x port display current-configuration | include dot1x
二、访问控制
对应条款 8.1.4.2 / 8.1.2.2
2.1 权限管理与角色分离
用户角色分配
display local-user
✓ 达标判据 按运维/审计/配置划分角色，非管理员禁止执行高权限命令
命令级别控制
display current-configuration | include privilege
✓ 达标判据 关键命令授权到L3以上
权限审计
display current-configuration | include authorization
✓ 达标判据 已启用命令授权
▸ ZTE中兴设备特有配置
# 查看用户组及命令授权display local-user display current-configuration | include user-role# 查看命令级别划分display current-configuration | include privilege# 查看RBAC配置（如支持）display current-configuration | include role# 查看操作日志（配置变更）display logbuffer | include config
2.2 ACL与流量控制
# 查看所有ACL规则display acl all display acl all detail# 查看ACL应用在接口情况display current-configuration | include traffic-filter display current-configuration | include filter-group# 查看接口访问控制display current-configuration | include interface display current-configuration | include inbound display current-configuration | include outbound# 查看管理口ACL（限制管理源IP）display current-configuration | include user-interface display user-interface vty# 查看VLAN访问控制display vlan display current-configuration | include vlan# 查看端口隔离display port-isolate display current-configuration | include port-isolate# 查看DHCP Snooping绑定表display dhcp snooping display dhcp snooping binding# 查看IP Source Guard绑定display ip source binding display current-configuration | include ip source# 查看动态ARP检测（DAI）display arp inspection display arp inspection statistics# 查看ND Snooping（IPv6）display ndp snooping display ndp snooping statistics
三、安全审计
对应条款 8.1.4.3 / 8.1.2.5
3.1 日志服务配置
日志中心
display info-center
✓ 达标判据 已启用日志中心
日志主机（Syslog）
display info-center loghost
✓ 达标判据 日志外发至远程Syslog服务器
日志级别
display info-center loglevel
✓ 达标判据 记录信息级别（informational）及以上
日志缓冲
display info-center logbuffer
✓ 达标判据 缓冲区保留最近日志
配置日志
display current-configuration | include logbuffer
✓ 达标判据 配置变更被记录
▸ ZTE中兴设备特有配置
# 查看信息中心全局配置display info-center# 查看日志主机（Syslog服务器）配置display info-center loghost display current-configuration | include info-center# 查看日志输出通道及级别display info-center loglevel display info-center channel# 查看日志缓冲区内容display logbuffer display logbuffer all# 查看Trap告警缓冲区display info-center trapbuffer# 查看日志过滤规则display info-center log-filter display current-configuration | include info-center log-filter
3.2 日志管理与保护
# 查看NTP时间同步（确保日志时间准确）display ntp status display ntp associations display current-configuration | include ntp# 查看日志时间戳配置display current-configuration | include timestamp# 查看调试日志（应关闭）display current-configuration | include debug# 查看安全日志（安全认证/攻击事件）display logbuffer | include security display logbuffer | include authentication display logbuffer | include ssh# 查看攻击防范日志display logbuffer | include attack display current-configuration | include attack# 查看日志文件保存（如支持本地存储）display file dir sflash: dir flash:
四、入侵防范
对应条款 8.1.4.4 / 8.1.2.3
4.1 服务最小化与端口管理
高危端口
display tcp info
✓ 达标判据 无Telnet/FTP/TFTP端口监听，仅SSH(22)/HTTPS(443)
服务状态
display current-configuration | include server
✓ 达标判据 仅开启必要服务
固件版本
display version
✓ 达标判据 为官方最新稳定版本
未使用端口
display interface brief
✓ 达标判据 未使用的端口已shutdown
▸ ZTE中兴设备特有配置
# 查看设备版本及补丁display version display current-configuration | include image# 查看所有已开启服务display current-configuration | include server display current-configuration | include telnet display current-configuration | include http display current-configuration | include ftp server# 查看TCP/UDP监听端口display tcp info display udp info# 查看接口下未使用的端口（应shutdown）display interface brief display interface | include down# 查看环路保护（STP）display stp brief display stp configuration-summary display current-configuration | include stp# 查看LLDP邻居（排查未授权接入）display lldp neighbor-information display lldp neighbor-information detail
4.2 网络攻击防范
# 查看URPF配置（单播反向路径转发）display urpf display current-configuration | include urpf# 查看TCP拦截/连接限制display current-configuration | include tcp intercept display tcp# 查看ICMP重定向display current-configuration | include icmp# 查看Smurf/Land/Fraggle攻击防范display current-configuration | include smurf display current-configuration | include fragment# 查看ARP攻击防范（DAI/DHCP Snooping）display arp inspection display dhcp snooping# 查看ND攻击防范（IPv6）display ndp snooping# 查看DHCP仿冒防范display dhcp snooping display dhcp snooping binding# 查看BPDU保护（防私接交换机）display stp bpdu-guard display current-configuration | include bpdu-guard# 查看端口安全（MAC地址绑定）display port-security display port-security statistics# 查看CPU防护display current-configuration | include control-plane display control-plane# 查看广播/组播/未知单播风暴抑制display current-configuration | include storm-control display storm-control
五、恶意代码防范
对应条款 8.1.4.5
ZTE中兴设备通常无传统杀毒软件，重点检查固件及配置完整性：
固件完整性
display version
✓ 达标判据 版本与官方发布一致
配置一致性
display current-configuration vs display startup
✓ 达标判据 当前配置与保存配置一致
配置文件校验
display checksum
✓ 达标判据 启动文件/配置文件校验通过
▸ ZTE中兴设备特有配置
# 查看当前运行配置display current-configuration# 查看保存配置（下次启动配置）display startup# 查看启动文件及存储display boot display version | include \"System software\"# 查看配置文件校验display checksum display file dir sflash:# 查看License及功能授权display license display current-configuration | include license# 查看系统补丁及版本display version display save
六、可信验证
对应条款 8.1.4.6 · 网络设备可选
启动文件校验
display boot
✓ 达标判据 启动文件完整
配置归档
display current-configuration
✓ 达标判据 配置变更可追溯
固件签名
display version
✓ 达标判据 官方发布版本
安全密钥
display crypto local-key-pair public-key
✓ 达标判据 存在有效加密密钥
▸ ZTE中兴设备特有配置
# 查看启动文件路径及名称display boot# 查看BootROM版本display version | include \"Boot\"# 查看系统软件及补丁签名状态display version display current-configuration | include image# 查看安全密钥（RSA/DSA）display crypto local-key-pair public-key display current-configuration | include crypto key# 查看配置回滚点display save display version# 查看系统健康状态display cpu-usage display memory-usage display environment display device display health
七、数据备份与恢复
对应条款 8.1.4.9
配置备份
display startup
✓ 达标判据 配置已保存（startup存在）
自动备份
display current-configuration | include save
✓ 达标判据 存在自动归档配置
启动文件备份
display boot
✓ 达标判据 主备启动文件均存在
▸ ZTE中兴设备特有配置
# 查看启动配置文件display boot display current-configuration | include boot# 查看配置自动备份display current-configuration | include save display save# 查看TFTP/FTP/SFTP备份配置display current-configuration | include tftp display current-configuration | include ftp display current-configuration | include sftp# 查看NQA/Track/BFD等可靠性配置display current-configuration | include track display current-configuration | include bfd# 查看VRRP热备display current-configuration | include vrrp display vrrp# 查看链路聚合及冗余display eth-trunk display current-configuration | include eth-trunk# 查看设备堆叠状态display stack display current-configuration | include stack
一键巡检脚本（ZTE中兴设备）
ZTE
# ===== 1 身份鉴别 =====display local-user display current-configuration | include cipher display current-configuration | include password display current-configuration | include password-policy display users display user-interface vty display user-interface console display current-configuration | include authentication display radius-server display tacacs+ display ldap display dot1x# ===== 2 访问控制 =====display acl all display current-configuration | include traffic-filter display current-configuration | include filter-group display port-isolate display dhcp snooping display dhcp snooping binding display ip source binding display arp inspection# ===== 3 安全审计 =====display info-center display info-center loghost display info-center loglevel display logbuffer display logbuffer all display ntp status display ntp associations display current-configuration | include debug# ===== 4 入侵防范 =====display version display current-configuration | include server display tcp info display interface brief display stp brief display urpf display current-configuration | include bpdu-guard display port-security display control-plane display current-configuration | include storm-control# ===== 5 恶意代码防范 =====display current-configuration display startup display boot dir sflash: display license# ===== 6 可信验证 =====display boot display version display crypto local-key-pair public-key display cpu-usage display memory-usage display environment display device# ===== 7 数据备份 =====display startup display current-configuration | include save display save display boot display current-configuration | include vrrp display eth-trunk display stack# ===== 8 ZTE特有 =====display current-configuration | include http display current-configuration | include ssh display snmp-agent display pki display certificate local
高风险项重点核查清单
01Telnet服务开启
验证命令 display current-configuration | include telnet
不合规判定 Telnet服务未关闭
整改建议 user-interface vty 0 15 → protocol inbound ssh
02SNMP使用默认团体字
验证命令 display snmp-agent
不合规判定 团体字为 public 或 private
整改建议 删除默认团体字，配置v3认证
03HTTP明文管理开启
验证命令 display http server status
不合规判定 HTTP服务器已启用
整改建议 undo ip http enable → ip https enable
04无密码策略
验证命令 display current-configuration | include password-policy
不合规判定 未配置密码复杂度、长度、有效期
整改建议 配置密码策略
05无日志外发
验证命令 display info-center loghost
不合规判定 日志未外发至远程Syslog服务器
整改建议 info-center loghost
06无NTP时间同步
验证命令 display ntp status
不合规判定 未配置NTP服务器
整改建议 ntp-server
07高危服务开启（FTP/TFTP）
验证命令 display current-configuration | include ftp server
不合规判定 FTP/TFTP服务开启
整改建议 undo ftp server enable
08未保存配置
验证命令 display startup
不合规判定 运行配置与保存配置不一致
整改建议 save force
09STP未启用
验证命令 display stp brief
不合规判定 STP全局未启用
整改建议 stp mode rstp
10端口安全未启用
验证命令 display port-security
不合规判定 接入端口未启用端口安全
整改建议 interface
11调试模式开启
验证命令 display current-configuration | include debug
不合规判定 存在 debug all
整改建议 undo debug all
12SSH密钥位数不足
验证命令 display crypto local-key-pair public-key
不合规判定 密钥位数 < 2048位
整改建议 生成2048位以上密钥
13密码未加密
验证命令 display current-configuration | include cipher
不合规判定 未启用密码加密
整改建议 配置密码加密存储
14未关闭HTTP服务器
验证命令 display http server status
不合规判定 HTTP服务器未禁用
整改建议 undo ip http enable
15登录无超时
验证命令 display user-interface vty
不合规判定 VTY超时时间 > 10分钟
整改建议 user-interface vty 0 15 → idle-timeout 10
ZTE中兴设备 vs 标准Linux服务器对比
| 对比项 | 标准Linux服务器 | ZTE中兴设备 |
|---|---|---|
| 操作系统/内核 | Linux内核 | ZTE VRP V3.x/V5.x |
| 命令行类型 | bash/shell | ZTE CLI（display命令体系） |
| 用户管理 | /etc/passwd、useradd、PAM | local-user |
| 密码策略 | PAM模块（pam\_pwquality） | password-policy（内置） |
| 访问控制 | iptables/SELinux | 标准ACL（Standard/Extended） |
| 日志管理 | syslog/rsyslog/journald | info-center/logbuffer |
| 远程管理 | SSH/SSH端口22 | SSH（ssh server enable） |
| 固件更新 | apt/yum/dnf | copy tftp flash: / 固件升级 |
| 等保重点 | 主机安全策略 | 网络设备安全策略（CLI命令） |
测评执行要点
- 权限要求
• 需具备 Privileged Mode（特权模式） 权限执行 display 命令
• 进入特权模式：system-view → quit 后回到用户视图，或从用户视图直接执行 display
• 部分配置命令需 system-view 模式
• 查看 display current-configuration 需要L1（用户模式）权限
- 现场核查重点
• 管理面暴露：核查是否仅通过SSH访问，VTY线路是否已禁用Telnet
• SNMP安全：核查是否使用v3且启用认证加密，v1/v2c是否已禁用
• 配置一致性：核查 display current-configuration 与 display startup 是否一致
• 固件版本：核查是否为官方最新补丁版本，是否存在已知CVE漏洞
• 日志完整性：核查日志是否外发至集中日志服务器，NTP是否已同步
• 密码策略：核查 cipher 口令是否使用加密，密码策略是否启用
- 不同产品差异
• VRP V3 vs V5：V5版本支持更多高级特性（如 control-plane、ip source binding、urpf）；V3版本部分命令不支持
• 交换机 vs 路由器：交换机使用 display port-security、display stp、display port-isolate；路由器使用 display ip routing-table
• 与华为VRP的差异：命令体系极为相似，但部分参数和输出格式有细微差异
常用命令速查
系统信息
display version # 版本信息
display device # 设备信息
display environment # 环境监控
display cpu-usage # CPU使用率
display memory-usage # 内存使用率
display health # 系统健康
网络状态
display interface brief # 接口状态概览
display ip interface brief # IP接口状态
display ip routing-table # 路由表
display arp # ARP表
display mac-address # MAC地址表
display tcp info # TCP连接
display udp info # UDP连接
安全配置
display current-configuration # 当前配置
display startup # 保存配置
display acl all # ACL规则
display current-configuration | include password # 密码策略
display ssh server status # SSH状态
display snmp-agent # SNMP配置
display aaa # AAA配置
日志审计
display logbuffer # 日志缓冲区
display info-center loghost # 日志主机
display info-center # 信息中心
display ntp status # NTP状态
display ntp associations # NTP会话
可靠性
display stp brief # 生成树
display vrrp # VRRP热备
display eth-trunk # 链路聚合
display ntp status # NTP状态
display save # 配置归档
参考标准
| 标准编号 | 标准名称 |
|---|---|
| GB/T 22239-2019 | 《信息安全技术 网络安全等级保护基本要求》 |
| GB/T 28448-2019 | 《信息安全技术 网络安全等级保护测评要求》 |
| GB/T 25070-2019 | 《信息安全技术 网络安全等级保护安全设计技术要求》 |
— 全文完 —
依据 GB/T 22239-2019 / GB/T 28448-2019 / GB/T 25070-2019 整理
关注路劲科技，关注网络安全！
END
关于我们：
北京路劲科技有限公司(Beijing Lujin Technology Co. , Ltd.)成立于2019年1月4日，是一家提供全面系统集成与信息安全解决方案的专业IT技术服务公司。公司秉承“为网络安全保驾护航”的企业愿景及“提升国家整体安全”的使命，依据风险评估模型和等级保护标准，采用大数据等技术手段，开展网络安全相关业务。公司致力于为各个行业的业务信息化提供软件和通用解决方案、系统架构，系统管理和数据安全服务、以及IT咨询规划、系统集成与系统服务等专业化服务。公司立足北京，走向全国，始终坚持“换位、细节、感恩”的核心价值观，以“共赢、共享、共成长”的经营理念为出发点，集合了一批敢于创新、充满活力、热衷于为IT行业服务的优秀人才，致力于成为您身边的网络安全专家。
关注路劲科技，关注网络安全！
公司：北京路劲科技有限公司
地址：北京市昌平区南邵镇双营西路78号院2号楼5层504
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论