# 无线网络设备测评（AC/AP）
> 无线网络设备（无线控制器 AC 与无线接入点 AP）等保2.0三级现场测评取证命令单：按安全区域边界与安全计算环境双口径编排，覆盖部署形态与 AP 上线状态、身份鉴别与 SNMP 团体字、管理 VLAN 与无线用户隔离、WPA2/WPA3 加密与 RADIUS 对接、WIDS 非法 AP 检测、日志外送与留存 6 个月、CAPWAP DTLS 隧道加密、配置备份与离线 AP 清理，分华为/H3C/锐捷/思科给出已核验的 display/show 只读命令与高风险判定口径。
---
LLMS index: [llms.txt](/wikis/llms.txt)
---
> 定位：无线网络设备（无线控制器 AC 与无线接入点 AP）三级等保现场测评**取证命令单**，按 GB/T 22239-2019 安全区域边界（无线接入）与安全计算环境（设备本体）双口径分节组织核查命令、判定要点与取证要求。
> 适用范围：华为、H3C、锐捷、思科 AC+瘦 AP（FIT AP）集中式架构与 Fat AP 独立部署；既覆盖无线接入作为安全区域边界接入形态的边界防护、访问控制条款，也覆盖 AC/AP 设备本体的身份鉴别、访问控制、安全审计等计算环境条款。
> 配套文章：[26、华为交换机测评命令](../26华为交换机测评命令/)、[14、H3C交换机测评命令](../14h3c交换机测评命令/)、[24、思科交换机测评命令](../24思科交换机测评命令/)、[15、锐捷交换机测评命令](../15锐捷交换机测评命令/)；配套加固：[17、加固方案总纲](../../../reinforce/其他系统或设备/17网络设备安全设备服务器数据库和应用系统的加固方案/)；高风险口径：[22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
>
> 双口径说明：
>
> - AC/AP 在三级系统中兼具**双重身份**：作为无线接入的网络与边界设备，对应安全区域边界 8.1.2.x（边界防护、访问控制、入侵防范、安全审计）与安全通信网络—网络架构（关键网络设备硬件冗余）；作为被测设备本体，对应安全计算环境 8.1.4.x。取证前先按部署与用途定性，避免把边界接入证据记到设备本体名下（或反之）。
> - 无线网络特有条款按 GB/T 22239-2019 三级边界防护 d)（"应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络"，《高风险判定指引》将"无线网络管控措施缺失"列为三级及以上高风险判例）与移动互联安全扩展要求（检测非授权无线接入设备与非授权移动终端、检测 SSID 广播与 WPS 等高风险功能开启状态、禁用 SSID 广播与 WEP 认证、禁止多个 AP 使用同一认证密钥、阻断非授权接入设备）取证——条款措辞以站内等保 Wiki 原文为准。
>
> 使用说明：
>
> - 本文所有命令均为**只读取证**命令，不修改配置、不重启服务、不执行清除类操作；确需变更由被测单位运维方在授权下实施。
> - 各厂商 WLAN 命令互不兼容且随版本差异较大：本文按「华为 / H3C / 锐捷 / 思科」分组给出已核验命令，命令不存在或输出与示例差异较大时，先确认 AC/AP 型号与软件版本，再换用等效命令或转入配置文件、管理控制台取证，**不得据命令缺失直接判不符合**。
> - 每个控制点小节按「对应控制点 → 判定要点 → 取证要求 → 核查命令 → 备注 → 预期证据」编排；命令回显本身即证据，须连同命令行一起截图；涉及实测验证（默认口令登录、SNMP 探测、访客 SSID 越权访问内网）的操作**必须先取得被测单位书面授权**，并在测试后恢复原状。
> - 示例输出中的地址、SSID、账户均为演示值（如 192.168.10.5、demo-wlan），现场须替换为真实取证结果，并对涉及个人信息与内网管理地址的内容脱敏后再入报告。
>
> 不适用标识说明：
>
> - 使用 `【不适用】` 明确标记现场可判定为不适用的控制点，并写明判定依据与承载该能力的上位组件。
> - 判定依据采用 GB/T 28448-2019"按测评对象实际功能、是否直接处理数据、是否具备该类安全机制判定"的原则：无线终端侧的身份鉴别、访问控制由 RADIUS/统一认证平台/Portal 承载时，应注明测评单元边界后判定或转由上位组件核查；Fat AP 独立部署场景下 AC 专属控制点（双机热备、集中 WIDS、集中配置下发等）按部署形态判定不适用。
## 基础信息与部署形态
> **对应控制点**：非独立控制点（测评对象与资产确认）；部署形态与冗余情况佐证 安全通信网络—网络架构（关键网络设备硬件冗余）与 8.1.2.x 边界防护 d)（无线网络通过受控边界设备接入内部网络）
>
> **判定要点**：AC 版本与授权、AP 型号清单、AP 上线状态与关联数、SSID 清单与 VLAN 映射、双机（热备/双链路）形态五项均可取证且与网络拓扑、资产台账一致 → 符合；AP 型号/位置台账缺失、存在来源不明 AP、SSID 与拓扑不一致 → 部分符合；存在未纳入管理的私自架设 AP 且无检测手段 → 不符合（对应边界防护 d) 高风险判例）。
>
> **取证要求**：版本与授权截图、AP 清单（型号/位置/状态）与台账比对表、SSID 清单及策略截图、双机状态截图、网络拓扑图（标注无线区边界与受控接入点）、访谈记录。
### A. AC 版本与 AP 型号清单
**核查命令**（各厂商通用表述，AC 与抽样 AP 分别执行）：
```text
华为：display version
display ap all # AP 清单：型号/AP-MAC/AP 名称/上线状态
H3C： display version
display wlan ap all # AP 清单与在线统计
锐捷：show version
show ap-config summary # AP 数量、命名、IP/MAC、Radio 状态
思科：show version
show ap summary # 已接入 AP 汇总（型号/位置/状态）
```
- 备注：版本信息用于判断 AC/AP 是否停服（EOL），与入侵防范一节联动；AP 清单须与被测单位无线资产台账逐项比对，台账外 AP 追查来源。
- 预期证据：AC/AP 版本截图、AP 清单与台账比对表、授权与许可截图。
示例输出（节选）
<AC-DEMO-01> display ap all（节选，演示值）
Info: This operation may take a few seconds. Please wait.done.
Total AP information:
nor : normal [12]
------------------------------------------------------------------------------------
AP-ID AP-Type AP-MAC AP-name State Uptime Description
------------------------------------------------------------------------------------
0 AirEngine5760 00e0-fc12-3456 ap-demo-1f01 nor 45D3H12M 一层东侧
1 AirEngine5760 00e0-fc12-3457 ap-demo-1f02 nor 45D3H10M 一层西侧
（State 为 nor 表示 AP 正常上线；台账外 AP 须追查来源）
高风险提示
出现以下任一情形按《高风险判定指引》判高风险：`admin/admin` 类出厂默认账户口令未修改且可登录；SNMP 使用 `public`/`private` 默认团体字且管理网段可达；Telnet/HTTP 明文管理未关闭；AC 与 AP 间 CAPWAP 隧道沿用缺省 DTLS 预共享密钥且未启用加密。
判定口径详见 [22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
高风险提示
《高风险判定指引》"边界防护：无线网络管控措施缺失"（三级及以上）：内部重要网络与无线网络互联且不通过任何受控的边界设备，或边界设备控制策略设置不当——典型形态为访客 SSID 与办公/生产网同 VLAN、无线接入区与内网重要区域之间无防火墙/网关访问控制。存在该情形直接按高风险处理。
判定口径详见 [22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
高风险提示
AC/AP 日志仅存本地缓冲区且未外送至日志审计系统，留存无法满足 6 个月，按《网络安全法》第二十一条与《高风险判定指引》判高风险；无线用户认证日志（谁、何时、接入哪个 SSID）缺失导致无法追溯时一并记录。
判定口径详见 [22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
高风险提示
出现以下任一情形按《高风险判定指引》与移动互联扩展要求判高风险：SSID 使用 WEP 或 WPA/TKIP 加密（应禁用）；开放（无认证无加密）网络直接承载内部重要业务且无网络隔离补偿；企业网使用统一 PSK 且口令为弱口令（多 AP/多 SSID 共用同一认证密钥亦为移动互联扩展要求禁止项）。
判定口径详见 [22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
示例输出（节选）
<AC-DEMO-01> display security-profile name demo-wlan-sec（节选，演示值）
Security policy : WPA2-802.1X
Authentication method : 802.1X
WPA2 authentication key mode : NOT CONFIG
<AC-DEMO-01> display station ssid demo-wlan（节选，演示值）
STA MAC AP-name SSID RSSI(dBm) Auth/Encrypt
00e0-fc23-4567 ap-demo-1f01 demo-wlan -52 802.1X/CCMP
00e0-fc23-4568 ap-demo-1f02 demo-wlan -61 802.1X/CCMP
（业务 SSID 采用 WPA2-802.1X + CCMP；未发现 WEP/TKIP 条目）