26、华为交换机测评命令
Categories:
6 分钟阅读
定位：华为 VRP 交换机/路由器等保测评核查命令速查，按控制点分组，命令全部为只读
display，现场可直接执行取证。 配套核查脚本：网络设备核查脚本 · 华为（含示例输出与预期证据，本文为其命令索引与补充）；同子栏：14、H3C交换机命令、15、锐捷交换机命令、24、思科交换机命令、34、Juniper交换机核查命令。 配套加固：06、华为交换机安全加固、10、常见交换机加固；高风险口径：22、高风险判定指引与加固对照表。 适用版本：VRP V200R003~V200R022（S 系列、CE 系列、AR 系列）及 V600；V200R 各小版本命令差异见文末对照表。
原文中 display aaa password-scheme、display aaa password-expire、display aaa fail-logins、
display idle-timeout、display privilege、display logbuffer configuration、display logback client、
display configuration-file backup、display file system、display disk-encrypt 等命令在 VRP 上并不存在
（部分为 H3C 命令，部分为臆造）；另有两条命令粘连书写（display ssh server display telnet server）。
本文已逐条替换为 VRP 实际命令，并在各节给出等价取证方式；文末失效的第三方附件外链已移除。
使用说明：
- 本文所有命令均为只读取证命令，不修改配置、不重启服务、不执行清除类操作；确需变更由被测单位运维方在授权下实施。
- 命令回显本身即证据，须连同命令行一起截图；示例中的地址、账户、路径均为演示值，现场须替换为真实取证结果，并对个人信息与内网管理地址脱敏后再入报告。
- 命令不存在或输出与示例差异较大时，先确认产品版本与部署形态（物理机/虚拟机/容器/集群），再换用等效命令或转入配置文件、管理控制台取证，不得据命令缺失直接判不符合。
- 文中「默认」「一般」等表述均为初判倾向，须经上机核查 + 访谈 + 配置/制度核对三方印证后定论，并在报告中写明取证来源。
不适用标识说明：
- 使用
【不适用】明确标记现场可判定为不适用的控制点，并写明判定依据与承载该能力的上位组件。- 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由上层应用、统一认证平台、前置代理、堡垒机、日志审计系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
- 产品版本确实不提供该能力（如设备无可信根、社区版无审计模块）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用。
一、基础信息与版本识别
对应控制点：非独立控制点（测评对象与资产确认）；型号、软件版本、部署位置、板卡与链路冗余情况佐证 8.1.2.1 网络架构 a)e)
判定要点：本节为测评对象确认，不单独出结论；设备型号、软件版本与补丁、部署位置（核心/汇聚/接入/边界）、板卡与链路冗余、承载 VLAN 与管理 IP 未取全时，后续控制点与「不适用」结论均无法成立，应先补齐再进入核查。
取证要求：
display/show version回显截图、设备位置与拓扑图、板卡与电源冗余状态输出、接口与 VLAN 清单、管理 IP 与带外管理方式说明、资产台账条目。
核查命令
display version
display device
display esn # 设备序列号，资产台账核对用
display current-configuration
display saved-configuration
display startup # 启动配置文件与下次启动文件
display interface brief
display ip routing-table
display clock
display cpu-usage
display memory-usage
- 核查要点：VRP 版本与补丁、运行配置与保存配置是否一致（不一致说明有未保存变更）、 管理地址与业务地址、接口 up/down、路由角色、堆叠/CSS 形态；
- 判定提示：配置未保存属管理类缺陷，不构成技术类不符合，但须在报告中提示；
- 证据留存：
display version、display esn、display device、display interface brief截图。
二、身份鉴别
对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)~d)（设备自身管理安全）
判定要点：本地账户唯一且非默认口令、启用 AAA 并优先对接统一认证（TACACS+/RADIUS，本地作为回落）、口令复杂度与有效期已配置且密文存储、登录失败锁定与会话超时已启用、远程管理仅开放 SSH/HTTPS 且禁用 Telnet/HTTP；三级另需核查两种及以上鉴别技术组合 → 全部满足为符合；仅有本地账户与复杂度但无失败锁定或超时、或 AAA 未对接 → 部分符合；Telnet 明文管理、存在空口令或默认口令账户 → 不符合（高风险）。
取证要求：账户与权限级别清单截图、AAA 方案与服务器对接配置、口令策略与加密存储方式配置、失败锁定与超时参数、SSH/HTTPS 版本与算法套件配置、Telnet/HTTP 服务状态输出、统一认证平台侧对接记录。
网络设备启用 Telnet 或 HTTP 明文管理、存在空口令或沿用出厂默认口令账户（admin/admin、cisco/cisco、huawei、h3c、root 等），或 Console 口无鉴别时，按《高风险判定指引》可直接判高风险；SNMP 使用默认团体名（public/private）且可写时同样按高风险处理。
判定口径详见 22、高风险判定指引与加固对照表。
2.1 认证方式、账户与权限
核查命令
display local-user # 本地用户清单、权限级别、状态（锁定/过期）
display domain # 认证/授权/计费方案，判断是否对接 AAA
display current-configuration | include radius|hwtacacs|aaa
display ssh server status
display telnet server status
- 核查要点：是否启用 AAA（RADIUS/HWTACACS）；
display local-user输出的Privilege（级别 0~15）与State（Active/Blocked）用于判断是否满足权限分离与账户清理； - 判定提示：仅单一 15 级超级管理员账户且无 AAA → 访问控制 a)/d) 判不符合（三级系统高风险）。
2.2 口令策略与加密存储
核查命令
display local-user # 含口令过期与锁定状态
display current-configuration | include local-aaa-user|password|user-password
- 核查要点：
- 华为的本地账号口令策略在
aaa视图下配置（如local-aaa-user password policy administrator及其password min-length、password expire、password history record number等子项）， 现场从配置中取证； - 配置中口令应为
cipher（密文）而非simple（明文）； display local-user的Password expired与Account locked字段可佐证有效期与锁定策略是否生效；
- 华为的本地账号口令策略在
- 判定提示：明文存储（
simple）直接判不符合；口令策略未配置 + 无 AAA 侧策略 → 身份鉴别 a) 部分符合。
2.3 登录失败处理与会话超时
核查命令
display current-configuration | include wrong-password # 失败锁定配置
display local-user # Account locked / 失败计数佐证
display user-interface # idle-timeout（空闲超时，分钟）
display user-interface vty 0 4
display ssh server status # SSH 认证超时
配置写法：aaa 视图下 local-aaa-user wrong-password retry-interval <分钟> retry-time <次数> block-time <分钟>。
其中 retry-interval 与 block-time 的单位均为分钟，retry-time 为次数。
示例：local-aaa-user wrong-password retry-interval 5 retry-time 3 block-time 5
表示 5 分钟内连续 3 次口令错误即锁定该账号 5 分钟。缺省情况下本地账号锁定功能处于使能状态。
- 判定提示（三项须同时具备）：
- 符合：
wrong-password失败锁定已配置 +idle-timeout不为 0（0 表示永不超时）； - 部分符合：仅配其一；
- 不符合：两者均未配置。
- 符合：
2.4 远程管理传输保护
核查命令
display ssh server status
display ssh user-information
display rsa local-key-pair public # 确认已生成本地密钥对
display telnet server status
display current-configuration | include protocol inbound
- 判定提示：VTY 下
protocol inbound telnet（或all）→ 传输保密性判不符合； 正确配置为protocol inbound ssh；SSH 已启用但 Telnet 未关闭 → 部分符合并要求整改。
三、访问控制
对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)~g)（设备自身管理安全）；承载边界访问控制功能时另对应 8.1.3.2 访问控制 a)~c)
判定要点：按权限级别分配账户并实现管理权限分离、默认账户已改名或删除、无多余与共享账户、VTY/Console 已绑定 ACL 限制管理来源、关闭未用端口与未用服务、配置了基于角色的授权 → 符合；有权限分级但 VTY 未限制来源、存在共享账户 → 部分符合；VTY 无 ACL 且无权限分级、任意来源可尝试登录 → 不符合。承载边界访问控制功能时，另需核查 8.1.3.2 的策略粒度与默认拒绝。
取证要求：账户与权限级别对照表、VTY/Console 线路配置与 ACL 绑定输出、管理来源限制与拒绝实测、端口与服务开关状态、访问控制策略文档与变更记录、边界 ACL 或安全策略截图（若承载边界功能）。
VTY 线路未绑定 ACL 且管理面对全网开放，或全部运维人员共用同一高权限账户、未实现管理职责分离，属高风险线索；未用端口未关闭且无端口安全，接入侧可任意私接设备时按高风险处理。
判定口径详见 22、高风险判定指引与加固对照表。
核查命令
display local-user # 账户与权限级别
display current-configuration | include user-group|user privilege level
display acl all # ACL 配置
display current-configuration | include acl inbound
display user-interface vty 0 4 # VTY 是否用 acl inbound 限制登录来源
- 核查要点：
- 是否存在默认账户、共享账户、长期未清理账户、外包临时账户；
- VTY 是否配置
acl <num> inbound限定管理终端网段（入侵防范 c) 的直接证据）； - 权限级别是否区分只读（1 级）、运维（3~15 级）、审计；
- 判定提示：VTY 未绑定 ACL 且无堡垒机/网络 ACL 兜底 → 入侵防范 c) 判不符合。
四、安全审计
对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)~d)（设备自身）；承载边界审计功能时另对应 8.1.3.5 安全审计 a)b)
判定要点：日志功能已启用、日志缓冲区容量合理、已配置日志主机/syslog 外发、日志级别覆盖登录注销与配置变更等重要事件、时间同步准确（NTP 且已启用认证）、审计记录留存不少于 6 个月并受保护、SNMP 未使用 v1/v2c 明文团体名 → 符合；已开日志但未外发、级别过低（仅 emergencies）、时间未同步、SNMP 用默认团体名 → 部分符合；日志完全未启用或无外发且留存不足 → 不符合（高风险）。
取证要求：日志开关与级别配置、缓冲区与日志主机配置输出、syslog 收端（日志审计系统/SOC）接收记录截图、NTP 配置与同步状态输出、SNMP 版本与团体名或用户配置、登录与配置变更日志抽样（脱敏）、留存周期核查记录。
设备日志未启用或未外发至日志主机/日志审计系统，或日志留存明显不足 6 个月且设备本地缓冲区已被覆盖，属高风险；NTP 未同步导致日志时间不可信、无法与上位告警关联时按高风险线索记录。
判定口径详见 22、高风险判定指引与加固对照表。
4.1 日志开关、缓冲区与日志主机
核查命令
display info-center # 各输出方向（console/logbuffer/loghost/logfile/trapbuffer）开关与级别
display logbuffer # 日志缓冲区内容
display logbuffer summary # 缓冲区大小与状态
display trapbuffer # 告警缓冲区（VRP 特有）
display current-configuration | include info-center loghost
- 核查要点：
logbuffer/loghost方向是否开启、级别是否为informational及以上；- 是否配置
info-center loghost <日志服务器>（留存 ≥6 个月的主要落地方式）； - 缓冲区是否被高频日志冲掉（结合
display logbuffer summary的时间跨度判断）；
- 判定提示：仅本地缓冲、无日志主机且无第三方日志审计 → 安全审计 c) 判部分符合 （缓冲区断电即失，无法满足 6 个月留存）。
4.2 时间同步
核查命令
display ntp-service status
display ntp-service sessions
display clock
- 判定提示：NTP 未配置或未同步 → 审计记录时间不可溯源，安全审计 b) 至少部分符合。
4.3 SNMP 配置
核查命令
display snmp-agent sys-info version # 启用的 SNMP 版本
display snmp-agent community # v1/v2c 团体名
display snmp-agent group
display snmp-agent usm-user # v3 用户
display snmp-agent target-host
- 判定提示：启用 SNMPv1/v2c 且团体名为
public/private→ 高风险 （鉴别信息明文 + 默认团体名），应改 SNMPv3（usm-user+ 认证/加密）。
五、入侵防范与网络服务
对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)~f)（设备自身）；承载边界入侵防范功能时另对应 8.1.3.3 入侵防范 a)b)
判定要点：关闭未用服务（Telnet、FTP、HTTP 管理面按需、SNMP v1/v2c、LLDP/CDP 按需）、启用端口安全与 DHCP Snooping/DAI/ARP 检测、配置 CPU 保护与攻击防范策略、管理面 ACL 限制来源、软件版本无已知高危漏洞并及时升级、具备配置回滚能力 → 符合；部分措施到位（如启用端口安全但未做 DHCP Snooping、有版本记录无漏扫闭环）→ 部分符合；管理服务对全网开放、无任何攻击防范策略、存在已知高危漏洞未修补 → 不符合（高风险）。
取证要求：服务开关与端口状态输出、端口安全/DHCP Snooping/DAI 配置、攻击防范与 CPU 保护策略、管理面 ACL、版本与补丁升级记录、漏扫报告与整改工单、上位 IPS/NDR 针对本设备的告警。
存在已知高危漏洞未修补（含已停止官方支持的型号与版本），或未启用任何攻击防范策略（无 CPU 保护、无 DHCP Snooping/DAI、无端口安全）导致设备可被作为攻击跳板，属高风险；管理端口对互联网开放时按高风险处理。
判定口径详见 22、高风险判定指引与加固对照表。
核查命令
display version # 版本与补丁基线
display tcp status # 对外 TCP 连接与监听状况
display interface brief # 闲置端口是否 shutdown
display cpu-usage
display memory-usage
display arp
display mac-address
display current-configuration | include ftp|telnet|http
- 核查要点：最小服务原则（关闭未用的 FTP/Telnet/HTTP 服务）、闲置端口 shutdown、 版本是否处于厂商已公告漏洞范围；
- 判定提示：交换机不承载 IPS 功能（原文
display ips interface在 VRP 交换机上不存在）， 入侵防范 a)/b)/d) 对交换机本体通常判不适用或落到边界设备，f) 通过日志主机告警实现。
六、传输保密与配置备份
对应控制点：GB/T 22239-2019 8.1.2.2 通信传输 a)b)、8.1.4.8 数据保密性 a)、8.1.4.9 数据备份恢复 a)（配置文件与系统镜像备份）
判定要点：管理通道采用 SSH v2/HTTPS 且算法套件不含已废弃算法、SNMP 采用 v3（认证加密）、路由协议邻居启用 MD5 或密钥链认证、配置文件与系统镜像有定期备份且备份文件受控存放（含异地或离线副本）、备份中含明文口令时已做加密与权限管控 → 符合；管理通道加密但 SNMP 仍为 v2c、或配置备份不定期、无异地副本 → 部分符合；管理通道明文、无任何配置备份 → 不符合。
取证要求：SSH/HTTPS 版本与算法套件输出、SNMP 版本与用户配置、路由协议认证配置、配置文件备份任务与产物清单（含时间戳）、备份存放位置与权限、恢复验证记录。
配置文件从未备份，或备份文件中含明文口令且随意存放于共享目录、个人终端，属高风险线索；管理通道与 SNMP 全程明文导致口令与配置可被嗅探时按高风险处理。
判定口径详见 22、高风险判定指引与加固对照表。
核查命令
display ssh server status
display rsa local-key-pair public
display current-configuration | include ssl|http secure-server
display startup # 启动配置文件，核对备份与归档
- 核查要点：SSH 是否启用并强制 v2；HTTPS 管理口是否启用并配置有效证书； 配置文件是否有备份（启动文件 + 外部归档）；
- 判定提示：网络设备无「磁盘加密」概念，存储保密性对交换机通常判不适用， 重点落在配置文件的访问控制与备份。
七、网络架构与冗余
对应控制点：GB/T 22239-2019 8.1.2.1 网络架构 a)~e)（e) 通信线路、关键网络设备和关键计算设备的硬件冗余）
判定要点：关键网络设备具备硬件冗余（双主控/双电源/双风扇）、关键链路具备冗余并启用链路聚合或生成树保护、核心层具备状态同步或可实现快速切换、划分了安全区域并绘制拓扑 → 符合；有冗余架构但未做过切换演练、或仅电源冗余无主控冗余 → 部分符合；关键节点单设备单链路单电源且无冗余措施 → 不符合。
取证要求：设备硬件冗余状态输出（电源/主控/风扇）、链路聚合与生成树配置、堆叠或集群状态输出、切换演练记录、网络拓扑图与安全区域划分说明、带宽与业务峰值评估材料。
核心或边界关键网络设备为单设备、单电源、单上联链路且无任何冗余措施，一旦故障即导致业务中断并丧失边界防护能力，按《高风险判定指引》可直接判高风险。
判定口径详见 22、高风险判定指引与加固对照表。
核查命令
display stack # 堆叠（iStack）
display css status # 集群交换系统（CSS）
display eth-trunk # 链路聚合
display stp brief # 生成树
display vrrp # 网关冗余
display ospf peer
display ospf routing
- 判定提示：此组命令取证的是「安全通信网络-网络架构」，非设备本体条款， 判定依据为拓扑图 + 本组输出 + 访谈。
版本适用性对照
| 核查项 | 支持版本 / 差异 | 不支持时的替代 |
|---|---|---|
local-aaa-user wrong-password | 需 V200R003+；block-time/retry-interval 单位为分钟 | 依托 AAA（RADIUS/HWTACACS）侧或堡垒机实现失败锁定 |
display local-user | 全系，V200R 各版本字段一致 | display current-configuration | include local-user |
display user-interface | 全系（V600 输出格式略有差异） | display current-configuration | include user-interface |
display ssh server status | 全系（需已使能 STelnet） | display ssh server |
display info-center / logbuffer / trapbuffer | 全系 | display current-configuration | include info-center |
display snmp-agent usm-user | 需配置 SNMPv3 后才有输出 | display snmp-agent group |
display stack / display css status | iStack 与 CSS 分别适用于盒式与框式设备，互不通用 | display device 判断形态后取对应命令 |
测评项对照表
| 控制点 | 核查命令（华为 VRP） |
|---|---|
| 身份鉴别 a) | display local-user（过期/锁定状态）、display current-configuration | include local-aaa-user|password |
| 身份鉴别 b) | display current-configuration | include wrong-password、display user-interface（idle-timeout） |
| 身份鉴别 c) | display ssh server status、display telnet server status、display current-configuration | include protocol inbound |
| 访问控制 a)/d) | display local-user、display current-configuration | include user-group|user privilege level |
| 访问控制 e)/f) | display acl all、display current-configuration | include acl inbound |
| 安全审计 a)/b) | display info-center、display logbuffer、display trapbuffer |
| 安全审计 c) | display current-configuration | include info-center loghost + 日志服务器留存策略 |
| 时间同步 | display ntp-service status、display ntp-service sessions |
| 入侵防范 b)/c) | display tcp status、display interface brief、display current-configuration | include acl inbound |
| 入侵防范 e) | display version + 华为安全公告（SA）比对 |
| 传输保密性 | display ssh server status、display rsa local-key-pair public、display snmp-agent sys-info version |
| 网络架构 | display stack / display css status、display eth-trunk、display vrrp、display ospf peer |
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（8.1.2 安全通信网络、8.1.3 安全区域边界（承载边界功能时）与 8.1.4 安全计算环境（设备自身管理安全））：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评对象边界认定、单元测评实施与结果判定：符合/部分符合/不符合/不适用）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
- GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、GB/T 25070-2019《安全设计技术要求》、GB/T 28449-2018《测评过程指南》，可在全国标准信息公共服务平台检索：http://openstd.samr.gov.cn/bzgk/gb/
- 华为企业业务技术支持门户（产品文档检索）：https://support.huawei.com/enterprise/
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）——高风险情形判定口径，站内对照表：22、高风险判定指引与加固对照表
- 命令核验说明：华为 VRP 命令以华为企业业务技术支持门户的产品文档口径与设备实测回显核验（核验日期 2026-09-02）。四处须留意：① 华为文档需按具体产品型号与 VRP 版本检索，部分版本提供公开 PDF，但无跨版本稳定的单一直链，本文只引用官方门户入口，不虚构具体文档 URL；② VRP 的本地用户需同时配置
service-type（ssh/telnet/terminal/http）与level，未配置service-type的用户无法登录，判定时须区分「账户不存在」与「服务类型未授权」；③ 口令策略由password policy（local-user视图下）配置，含复杂度、有效期与重试锁定，与local-user ... password irreversible-cipher（不可逆加密）配合核查；④ CE 系列（数据中心）使用ssh user ... service-type与不同的 RBAC 体系，与 S 系列命令不完全一致，须先确认display version的产品系列。