等保测评命令——华为网络设备（VRP/Comware）
北京路劲科技
北京路劲科技
北京路劲科技有限公司
2026年10月12日 14:45
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
本文整理了华为VRP/Comware网络设备在等保测评中的常用检查命令，覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据备份与恢复共7个安全控制点，每条命令均包含达标判据与整改建议，并附有一键巡检脚本与高风险核查清单，帮助测评人员高效完成测评工作。
⚠️ 免责声明：本文命令整理依据 GB/T 22239-2019、GB/T 28448-2019 标准，但不同厂商产品版本、配置方式存在差异。文中命令仅供参考，实际测评请以标准原文及测评机构要求为准。执行命令前请确认权限与环境，避免因操作失误导致业务中断。
一、身份鉴别
对应条款 8.1.4.1 / 8.1.2.4
1.1 账户唯一性与密码策略
本地用户
display local-user
✓ 达标判据 无冗余/测试/共享账户，每用户唯一
密码策略
display password-control
✓ 达标判据 启用复杂度、最小长度≥8位、有效期≤90天
密码加密
display current-configuration | include password
✓ 达标判据 所有密码均为密文存储
用户角色
display user-role
✓ 达标判据 按最小权限分配角色，无多余特权
▸ 华为设备特有配置
# 查看所有本地用户及其属性display local-user# 查看指定用户详细信息display local-user admin# 查看密码策略全局配置display password-control# 查看密码复杂度要求display current-configuration | include password-control# 查看用户角色及权限级别display user-role# 查看用户-角色绑定关系display local-user admin# 查看用户界面认证方式display user-interface# 查看登录失败计数与锁定状态display user-interface
1.2 登录失败处理与会话超时
登录失败锁定
display current-configuration | include authentication failed
✓ 达标判据 失败≥5次锁定≥300秒
会话超时
display user-interface
✓ 达标判据 console/vty/ssh超时≤10分钟
绝对超时
display current-configuration | include timeout
✓ 达标判据 存在绝对超时配置，防止僵尸会话
▸ 华为设备特有配置
# 查看用户界面超时配置display user-interface# 查看登录失败锁定策略display current-configuration | include authentication | include failed# 查看所有包含timeout关键字的配置display current-configuration | include timeout# 查看当前在线用户会话display user-interface# 查看AAA认证配置中的失败处理display aaa-scheme all# 查看用户锁定状态display local-user
1.3 远程管理安全
# 查看SSH服务状态及版本display ssh server status# 查看SSH密钥信息display ssh publickey# 查看SSH客户端版本display ssh client version# 查看Telnet服务状态（应关闭）display telnet status# 查看HTTP/HTTPS服务（应关闭HTTP，仅保留HTTPS）display http-server status# 查看SNMP服务（版本及团体字）display snmp-agent group# 查看SNMP团体字（应为v3并启用认证加密）display snmp-agent sys-info version# 查看FTP/TFTP服务display ftp server status# 查看当前监听端口display tcp status# 查看当前监听端口（UDP）display udp status# 查看高危服务是否关闭display current-configuration | include server enable
高风险项：Telnet开启、SNMP v1/v2c使用默认团体字（public/private）、HTTP明文管理直接判定不符合三级要求。
1.4 双因子认证（高风险项）
测评方法：访谈确认是否采用组合认证技术（如\"本地口令 + AAA(RADIUS/TACACS+)/数字证书\"）。
▸ 核查命令
# 查看AAA方案及认证域display aaa-scheme all# 查看RADIUS服务器配置display radius-server# 查看TACACS+服务器配置display tacacs-server# 查看LDAP/AD认证配置display ldap# 查看PKI/证书配置display pki-entity all# 查看802.1X认证（接入层）display dot1x# 查看认证方案绑定用户/接口display authentication-profile# 查看AAA策略绑定接口display current-configuration | include authentication
二、访问控制
对应条款 8.1.4.2 / 8.1.2.2
2.1 权限管理与角色分离
用户角色
display user-role
✓ 达标判据 按运维/审计/配置划分角色
命令级别
display user-interface brief
✓ 达标判据 关键命令授权到L3以上
权限审计
display command-authorization
✓ 达标判据 启用命令授权记录
▸ 华为设备特有配置
# 查看所有用户角色及权限范围display user-role# 查看用户界面模式及命令级别display user-interface brief# 查看命令授权状态display command-authorization# 查看操作日志（配置变更）display info-center logbuffer# 查看当前用户的权限级别display current-configuration | include role# 查看用户组配置（如支持）display local-user
2.2 ACL与流量控制
# 查看所有ACL规则display acl all# 查看ACL应用情况（在哪些接口/方向）display acl interface# 查看接口访问控制display interface brief# 查看管理口ACL（限制管理源IP）display current-configuration | include acl | include management# 查看VLAN访问控制display vlan# 查看端口隔离display port-security# 查看DHCP Snooping绑定表display dhcp snooping binding# 查看IP Source Guard绑定display ip source binding# 查看动态ARP检测display arp anti-attack# 查看ND Snooping（IPv6）display ipv6 nd snooping# 查看DHCP Snooping全局配置display dhcp snooping# 查看ARP检测配置display arp anti-attack
三、安全审计
对应条款 8.1.4.3 / 8.1.2.5
3.1 日志服务配置
日志中心
display info-center loghost
✓ 达标判据 启用info-center并外发至日志服务器
日志主机
display info-center loghost
✓ 达标判据 配置有效Syslog服务器地址
日志级别
display info-center filter
✓ 达标判据 记录informational及以上级别
日志缓冲
display info-center logbuffer
✓ 达标判据 缓冲区保留最近日志
▸ 华为设备特有配置
# 查看信息中心全局配置display info-center loghost# 查看日志主机（Syslog服务器）配置display info-center loghost# 查看日志输出通道及级别display info-center filter# 查看日志缓冲区内容display info-center logbuffer# 查看Trap告警缓冲区display info-center trapbuffer# 查看日志过滤规则display info-center filter# 查看日志源接口display info-center source-interface# 查看日志文件配置（本地存储）display info-center logfile
3.2 日志管理与保护
# 查看日志文件保存（如支持本地存储）display info-center logfile# 查看NTP时间同步（确保日志时间准确）display ntp status# 查看NTP会话display ntp sessions# 查看日志时间戳配置display current-configuration | include timestamp# 查看调试日志（应关闭）display current-configuration | include debugging# 查看安全日志（防火墙）display info-center logbuffer | include security# 查看攻击防范日志display current-configuration | include attack# 查看当前时间display clock
四、入侵防范
对应条款 8.1.4.4 / 8.1.2.3
4.1 服务最小化与端口管理
高危端口
display tcp status
✓ 达标判据 无Telnet(23)/FTP(21)/TFTP(69)端口监听
服务状态
display current-configuration | include server enable
✓ 达标判据 仅开启必要服务
固件版本
display version
✓ 达标判据 为官方最新稳定版本
▸ 华为设备特有配置
# 查看设备版本及补丁信息display version# 查看所有已开启服务display current-configuration | include server enable# 查看TCP监听端口display tcp status# 查看UDP监听端口display udp status# 查看接口下未使用的端口（应shutdown）display interface brief# 查看环路保护（STP）display stp brief# 查看LLDP邻居（排查未授权接入）display lldp neighbors# 查看接口详情display interface GigabitEthernet 0/0/1# 查看端口速率及双工模式display interface brief | include GigabitEthernet
4.2 网络攻击防范
# 查看URPF配置（单播反向路径转发）display current-configuration | include ip urpf# 查看TCP拦截/连接限制display tcp guard# 查看ICMP重定向display current-configuration | include icmp redirect# 查看Smurf/Land/Fraggle攻击防范display current-configuration | include attack# 查看ARP攻击防范display arp anti-attack# 查看ND攻击防范（IPv6）display ipv6 nd snooping# 查看DHCP仿冒防范display dhcp snooping# 查看BPDU保护（防私接交换机）display stp bpdu protection# 查看端口安全（MAC地址绑定）display port-security# 查看CPU防护display cpu-defend policy# 查看广播/组播/未知单播风暴抑制display storm-control# 查看DHCP Snooping全局状态display dhcp snooping
五、恶意代码防范
对应条款 8.1.4.5
华为网络设备通常无传统杀毒软件，重点检查固件及配置完整性：
固件完整性
display version
✓ 达标判据 版本与官方一致
配置一致性
display current-configuration
✓ 达标判据 当前配置与保存配置一致
文件校验
display flash
✓ 达标判据 启动文件存在且MD5可验证
▸ 华为设备特有配置
# 查看当前运行配置display current-configuration# 查看保存配置（下次启动配置）display startup# 对比当前配置与保存配置（手动比对）display current-configuration display startup# 查看启动文件及MD5（如支持）display flash# 查看配置文件MD5校验display md5sum flash:vrpcfg.zip# 查看系统补丁及签名display patch-info# 查看License及功能授权display license status# 查看License详细信息display license
六、可信验证
对应条款 8.1.4.6 · 网络设备可选
启动文件校验
display flash
✓ 达标判据 启动文件完整且可验证
配置归档
display info-center logfile
✓ 达标判据 配置变更可追溯
固件签名
display patch-info
✓ 达标判据 官方发布版本
▸ 华为设备特有配置
# 查看启动文件路径及名称display flash# 查看BootROM版本display bootrom# 查看系统软件及补丁签名状态display patch-info# 查看系统文件列表display flash# 查看配置回滚点display info-center logfile# 查看系统健康状态display health# 查看设备运行时长display device# 查看内存使用率display memory-usage
七、数据备份与恢复
对应条款 8.1.4.9
配置备份
display startup
✓ 达标判据 配置已保存到flash
自动备份
display current-configuration | include backup
✓ 达标判据 存在自动归档配置
双配置文件
display flash
✓ 达标判据 主备启动文件均存在
▸ 华为设备特有配置
# 查看启动配置文件display startup# 查看配置自动备份display current-configuration | include backup# 查看TFTP/FTP/SFTP备份配置display current-configuration | include tftp# 查看NQA/Track/BFD等可靠性配置display nqa display track display bfd session all# 查看VRRP/HSRP热备display vrrp# 查看链路聚合及冗余display eth-trunk# 查看设备堆叠/IRF状态display irf# 查看IRF成员状态display irf member all# 查看VRRP组状态display vrrp verbose
一键巡检脚本（华为网络设备）
VRP / COMWARE
# ===== 1 身份鉴别 =====display local-user display password-control display current-configuration | include password display user-role display user-interface display current-configuration | include timeout# ===== 2 访问控制 =====display user-role display user-interface brief display acl all display acl interface display vlan display port-security display dhcp snooping binding display ip source binding display arp anti-attack# ===== 3 安全审计 =====display info-center loghost display info-center logbuffer display info-center filter display info-center trapbuffer display info-center logfile display ntp status display ntp sessions# ===== 4 入侵防范 =====display version display tcp status display udp status display interface brief display stp brief display lldp neighbors display current-configuration | include ip urpf display tcp guard display arp anti-attack display dhcp snooping display stp bpdu protection display cpu-defend policy display storm-control# ===== 5 恶意代码防范 =====display version display current-configuration display startup display flash display md5sum flash:vrpcfg.zip display patch-info display license status# ===== 6 可信验证 =====display flash display bootrom display patch-info display health# ===== 7 数据备份 =====display startup display current-configuration | include backup display current-configuration | include tftp display vrrp display eth-trunk display irf# ===== 8 华为设备特有 =====display info-center source-interface display info-center filter display authentication-profile display command-authorization display current-configuration | include authentication
高风险项重点核查清单
01Telnet开启
验证命令 display telnet status
不合规判定 Telnet服务处于开启状态
整改建议 undo telnet server enable 并启用SSH
02SNMP默认团体字
验证命令 display snmp-agent group
不合规判定 使用public/private等默认团体字
整改建议 升级至SNMPv3，配置认证加密用户
03HTTP明文管理
验证命令 display http-server status
不合规判定 HTTP服务处于开启状态
整改建议 undo http-server enable 仅保留HTTPS
04无密码策略
验证命令 display password-control
不合规判定 未配置密码复杂度/长度/有效期
整改建议 password-control complexity + password-control length 8 + password-control maximum-age 90
05无日志外发
验证命令 display info-center loghost
不合规判定 未配置日志服务器
整改建议 info-center loghost
06无NTP同步
验证命令 display ntp status
不合规判定 NTP未配置或未同步
整改建议 ntp-server
07高危服务开启
验证命令 display tcp status
不合规判定 FTP/TFTP等服务监听
整改建议 关闭不必要服务，仅保留SSH/HTTPS
08未保存配置
验证命令 display startup
不合规判定 启动配置与当前配置不一致
整改建议 save force 保存配置
09STP未启用
验证命令 display stp brief
不合规判定 STP处于禁用状态
整改建议 stp enable 启用生成树协议
10端口未安全
验证命令 display port-security
不合规判定 未配置端口安全策略
整改建议 port-security enable 配置MAC绑定
11调试模式开启
验证命令 display current-configuration | include debugging
不合规判定 存在debugging配置
整改建议 undo debugging all 关闭调试
12登录失败未锁定
验证命令 display current-configuration | include authentication
不合规判定 未配置失败锁定策略
整改建议 authentication failed-action lockout 配置锁定
13未配置双因子认证
验证命令 display aaa-scheme all
不合规判定 仅使用本地口令认证
整改建议 配置RADIUS/TACACS+或证书认证
14无CPU防护策略
验证命令 display cpu-defend policy
不合规判定 未配置CPU防护
整改建议 配置CPU防护策略，限制管理流量
15接口未shutdown
验证命令 display interface brief
不合规判定 未使用的端口未关闭
整改建议 shutdown 关闭未使用端口
华为网络设备 vs 标准Linux服务器对比
| 对比项 | 标准Linux服务器 | 华为网络设备 |
|---|---|---|
| 操作系统/内核 | Linux发行版（CentOS/Ubuntu） | VRP V200R001 / Comware V5/V7 |
| 命令行类型 | Bash Shell | VRP CLI / Comware CLI |
| 用户管理 | /etc/passwd、sudo | local-user、user-role |
| 密码策略 | PAM模块、chage | password-control |
| 访问控制 | iptables/firewalld | ACL、端口安全 |
| 日志管理 | syslog/rsyslog/journald | info-center |
| 远程管理 | SSH（OpenSSH） | SSH（内置） |
| 固件更新 | apt/yum在线升级 | TFTP/FTP升级 + patch-info |
| 等保重点 | 操作系统安全加固 | 设备管理面安全 |
测评执行要点
- 权限要求
• 需具备L3（管理员）及以上权限执行多数检查命令
• 部分命令需在用户界面视图（user-interface vty 0）下执行
• 进入系统视图使用 system-view，进入用户界面视图使用 user-interface vty
• display current-configuration 可查看全部配置，建议优先使用
- 现场核查重点
• 管理面暴露：核查是否仅通过带内/带外管理口访问，是否限制源IP（display current-configuration | include acl）
• SNMP安全：核查是否使用v3且启用认证加密（display snmp-agent sys-info version），v1/v2c是否已禁用
• 配置一致性：核查 display current-configuration 与 display startup 是否一致
• 固件版本：核查是否为官方最新补丁版本（display version），是否存在已知漏洞（display patch-info）
• 日志完整性：核查日志是否外发至集中日志服务器（display info-center loghost）
• CPU防护：核查是否配置了CPU防护策略（display cpu-defend policy）
- 不同产品差异
• 交换机 vs 路由器：交换机侧重端口安全、VLAN隔离、STP；路由器侧重路由安全、URPF、防火墙策略
• VRP vs Comware：VRP（V200R001+）支持更多新特性如 cpu-defend、port-security；Comware V5/V7命令结构相似但部分参数名有差异
• 接入层 vs 核心层：接入层侧重802.1X、DHCP Snooping、IP Source Guard；核心层侧重AAA、ACL、VRRP
常用命令速查
系统信息
display version # 设备版本信息
display device # 硬件状态
display temperature # 环境温度监控
display cpu-usage # CPU使用率
display memory-usage # 内存使用率
display clock # 系统时钟
display uptime # 系统运行时长
网络状态
display interface brief # 接口状态总览
display ip routing-table # IP路由表
display arp # ARP表
display mac-address # MAC地址表
display tcp status # TCP连接状态
display udp status # UDP连接状态
display ip interface brief # 接口IP地址
安全配置
display current-configuration # 当前运行配置
display startup # 保存的启动配置
display acl all # 所有ACL规则
display password-control # 密码策略
display ssh server status # SSH服务状态
display local-user # 本地用户
日志审计
display info-center logbuffer # 日志缓冲区
display info-center loghost # 日志服务器
display info-center trapbuffer # 告警缓冲区
display ntp status # NTP同步状态
可靠性
display stp brief # 生成树状态
display vrrp # 虚拟路由冗余
display eth-trunk # 链路聚合
display ntp sessions # NTP会话
display irf # 设备堆叠状态
参考标准
| 标准编号 | 标准名称 |
|---|---|
| GB/T 22239-2019 | 《信息安全技术 网络安全等级保护基本要求》 |
| GB/T 28448-2019 | 《信息安全技术 网络安全等级保护测评要求》 |
| GB/T 25070-2019 | 《信息安全技术 网络安全等级保护安全设计技术要求》 |
— 全文完 —
依据 GB/T 22239-2019 / GB/T 28448-2019 / GB/T 25070-2019 整理
关注路劲科技，关注网络安全！
END
关于我们：
北京路劲科技有限公司(Beijing Lujin Technology Co. , Ltd.)成立于2019年1月4日，是一家提供全面系统集成与信息安全解决方案的专业IT技术服务公司。公司秉承“为网络安全保驾护航”的企业愿景及“提升国家整体安全”的使命，依据风险评估模型和等级保护标准，采用大数据等技术手段，开展网络安全相关业务。公司致力于为各个行业的业务信息化提供软件和通用解决方案、系统架构，系统管理和数据安全服务、以及IT咨询规划、系统集成与系统服务等专业化服务。公司立足北京，走向全国，始终坚持“换位、细节、感恩”的核心价值观，以“共赢、共享、共成长”的经营理念为出发点，集合了一批敢于创新、充满活力、热衷于为IT行业服务的优秀人才，致力于成为您身边的网络安全专家。
关注路劲科技，关注网络安全！
公司：北京路劲科技有限公司
地址：北京市昌平区南邵镇双营西路78号院2号楼5层504
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论