华为交换机-等保2.0“身份鉴别”实战：从口令策略到访问控制的合规配置
1. 等保2.0身份鉴别要求解析
最近几年，越来越多的企业开始重视网络安全等级保护工作。作为网络管理员，我在实际工作中发现，很多同事对等保2.0中"身份鉴别"这一项的理解还停留在表面。其实，等保2.0对身份鉴别提出了非常具体的要求，主要包括三个方面：口令策略、访问控制和审计日志。今天我们就重点聊聊如何在华为交换机上实现这些要求。
等保2.0明确规定了身份鉴别的基本要求：必须采用口令、数字证书等多种鉴别方式；口令要有复杂度要求并定期更换；要对登录失败进行处理；重要系统要采用两种或以上鉴别方式组合。这些要求看似简单，但在实际配置时往往会遇到各种细节问题。比如，很多管理员不知道华为交换机默认支持哪些认证方式，也不清楚如何设置合理的密码策略。
2. 华为交换机口令策略配置实战
2.1 密码长度与复杂度设置
在华为交换机上配置密码策略时，我建议从最基本的密码长度开始。默认情况下，华为交换机要求密码最小长度为8位，但根据等保2.0的要求，最好设置为10位以上。配置命令非常简单：
<HUAWEI> system-view [HUAWEI] set password min-length 10这里有个坑需要注意：如果之前关闭了密码复杂度检查，这个设置就不会生效。所以一定要确保密码复杂度检查是开启状态：
[HUAWEI] undo user-interface password complexity-check disable密码复杂度方面，华为交换机默认要求密码必须包含至少两种字符类型（大写字母、小写字母、数字或特殊字符）。特殊字符不包括问号和空格，这点要特别注意。在实际操作中，我遇到过很多用户因为使用了问号而导致密码设置失败的情况。
2.2 密码有效期与历史记录
等保2.0要求定期更换密码，华为交换机可以通过以下配置实现：
[HUAWEI] local-user admin password expire-interval 90这条命令设置admin用户密码90天后过期。同时，为了防止用户循环使用旧密码，可以设置密码历史记录：
[HUAWEI] local-user admin password history record-number 5这样系统会记住最近5次使用的密码，不允许重复使用。在实际项目中，我建议将过期时间设为60-90天，历史记录保留3-5个密码为宜。
3. 访问控制策略深度配置
3.1 基于时间的ACL配置
等保2.0要求对网络访问进行时间控制，这在华为交换机上可以通过基于时间的ACL实现。比如，限制某个网段只能在工作时间访问：
<HUAWEI> system-view [HUAWEI] time-range working-time 8:00 to 18:00 working-day [HUAWEI] acl name work-acl basic [HUAWEI-acl-basic-work-acl] rule deny source 192.168.1.0 0.0.0.255 time-range working-time这个配置创建了一个名为working-time的时间段（工作日8点到18点），然后在ACL中配置规则，在该时间段内禁止192.168.1.0/24网段的访问。我在实际部署中发现，时间范围的配置要特别注意时区问题，否则可能会出现时间对不上的情况。
3.2 用户登录限制
除了基于时间的控制，还可以对用户登录进行更精细的限制。比如，限制某个用户只能从特定IP登录：
[HUAWEI] acl number 2000 [HUAWEI-acl-basic-2000] rule permit source 10.1.1.100 0 [HUAWEI-acl-basic-2000] quit [HUAWEI] telnet server acl 2000这个配置只允许10.1.1.100这个IP通过telnet登录交换机。对于管理员账号，我强烈建议配置这种限制，可以大大降低被暴力破解的风险。
4. 高级身份鉴别功能
4.1 双因素认证配置
对于特别重要的系统，等保2.0建议采用双因素认证。华为交换机支持多种认证方式组合，比如本地认证+RADIUS认证：
[HUAWEI] aaa [HUAWEI-aaa] authentication-scheme admin-auth [HUAWEI-aaa-authen-admin-auth] authentication-mode local radius这种配置下，用户需要同时通过本地密码和RADIUS服务器认证才能登录。在实际部署时要注意，RADIUS服务器需要提前配置好，并且要有备用方案，防止服务器不可用时无法登录设备。
4.2 登录失败处理
等保2.0要求对登录失败进行处理，华为交换机可以配置登录失败锁定：
[HUAWEI] user-interface vty 0 4 [HUAWEI-ui-vty0-4] authentication-mode aaa [HUAWEI-ui-vty0-4] protocol inbound ssh [HUAWEI-ui-vty0-4] quit [HUAWEI] aaa [HUAWEI-aaa] local-aaa-user wrong-password retry-interval 5 retry-time 3 block-time 10这个配置表示：5分钟内连续3次密码错误就锁定账号10分钟。根据我的经验，这个参数设置要合理，太严格可能影响正常使用，太宽松又起不到防护作用。
5. 配置检查与维护建议
完成所有配置后，一定要进行检查。可以使用以下命令查看当前配置：
<HUAWEI> display current-configuration | include password <HUAWEI> display acl all <HUAWEI> display time-range all在日常维护中，我建议定期检查这些配置是否仍然符合等保要求。特别是当系统升级后，要重新确认密码策略等配置是否被重置。另外，要定期审计登录日志，检查是否有异常登录尝试：
<HUAWEI> display logbuffer | include Failed这个命令可以筛选出所有登录失败的记录。在实际运维中，我发现很多安全问题都是通过分析这些日志发现的。