Huawei 华为交换机安全策略配置检查表巡检模板
华为交换机 安全说明书
To ensure safety of humans and the equipment, pay attention to the safety symbols on the equipment and all the safety instructions in this document. The "NOTE", "CAUTION", and "WARNING" marks in this document do not represent all the safety instructions. They are only supplements to the safety instructions. When operating Huawei equipment, in addition to following the general precautions in this document, follow the specific safety instructions given by Huawei. Huawei will not be liable for any consequences that are caused by the violation of safety regulations and design, production, and usage standards.为保障人身和设备安全，在安装、操作、维护设备时，请遵循设备上标识及手册中说明的所有安全注意事项。
手册中的“安全警告”、“注意”、“说明”事项，并不代表所应遵守的所有安全事项，只作为所有安全注意事项的补充。
在进行本公司产品、设备的各项操作时，必须严格遵守由华为公司提供的相关设备注意事项和特殊安全指示。
手册中列出的“安全警告”仅代表了华为公司知道的部分，华为公司不承担任何因违反通用安全操作要求或违反设计、生产和使用设备安全标准而造成损失的责任。
华为交换机安全测评指导书
2)radiusschemeradius1
primaryauthentication10.1.1.1primaryaccounting10.1.1.2
b)登录地址限制；
检查：输入命令displaycurrent-configuration
序号
测评指标
测评项
检查方法
预期结果
3
网络设备防护(G3)
a)登录用户身份鉴别；
检查：输入命令displaycurrent-configuration
1)查看配置文件，是否存在类似如下登录口令设置：
user-interfacevty04userprivilegelevel3
setauthenticationpasswordciper******
f)具有登录失败处理功能；
检查：输入命令displaycurrent-configuration
检查配置文件中是否存在类似如下配置项：
user-interfacevty04idle-timeout50
存在类似如下配置：
user-interfacevty04idle-timeout50
序号
测评指标
测评项
使用了异地备份功能。
c)冗余的网络拓扑结构；
检查：查看网络拓扑结构，看是否采用了冗余技术来避免关键节点存在单点故障。
拓扑结构冗余。
d)提供硬件冗余。
检查：查看主要交换机是否有硬件冗余。
设备硬件冗余。
local-useruser1level1
local-useruser2level3
4
备份和恢复(A3)
a)提供本地数据备份与恢复；
交换机日常维护自检表
网络设备自检表
附注：设备状态指示灯及说明
系统状态指示灯：单板面板上的指示灯分别代表电源模块、风扇框、及单板本身的工作状态。
⏹电源指示灯（PWR）：PWR1、PWR2，对应两个电源（交流或直流）模块的状态。
OK：灯亮表示该灯指示的电源正常工作，灯灭表示该灯指示的电源有故障或该电源不在位；
FAIL：灯亮表示该灯指示的电源有故障，灯灭表示该灯指示的电源正常或该电源不在位；
⏹风扇指示灯（FAN）：对应风扇框的状态，红灯常亮表示风扇框有故障；
⏹单板指示灯（SLOT、ACTIVE）
SLOT：对应槽位的单板状态。
RUN：灯常亮或常灭表示单板有故障或不在位，闪烁表示单板正常工作；
ALM：灯常灭表示单板无故障或不在位，常亮表示单板有故障；
ACTIVE：表示业务处理引擎的主备工作状态，灯亮表示工作在主用状态，灯灭表示工作在备用状态。
如果指示灯处于快速闪烁中，表示单板正处于启动过程中，并没有正常工作。
在系统初始启动时，ALM指示灯会亮一段时间，并不表示单板有故障。
网络设备巡检表
网络设备巡检表1. 设备信息设备名称设备型号设备IP地址设备位置Switch1 Cisco 2960 192.168.0.10 机房1，机柜1，第1层Router1 Cisco 1841 192.168.0.1 机房1，机柜1，顶层Firewall1 FortiGate 192.168.1.1 机房1，机柜2，底层Access1 Cisco 3750 192.168.0.20 建筑A，楼层1，办公室1，机柜1 Access2 Cisco 3750 192.168.0.21 建筑A，楼层1，办公室2，机柜1 Access3 Cisco 3750 192.168.0.22 建筑A，楼层2，办公室3，机柜5 Access4 Cisco 3750 192.168.0.23 建筑B，楼层3，办公室4，机柜32. 巡检内容2.1. 物理巡检在进行物理巡检时，需要注意以下事项：•检查设备的外部连接是否牢固，包括电源、网线、光纤连接等。
•检查设备的指示灯状态，确保其正常工作。
•检查设备是否有异常噪声、异味或过热现象。
2.2. 系统巡检在进行系统巡检时，需要注意以下事项：•登录设备系统，检查设备的运行状态。
•检查设备的CPU利用率、内存利用率、接口流量等指标，确保设备正常工作。
•检查设备的日志信息，查看是否有错误或警告信息。
•检查设备的配置文件是否正确，并备份最新的配置文件。
•检查设备的带外管理是否可用，确保远程管理的连通性。
2.3. 网络巡检在进行网络巡检时，需要注意以下事项：•检查网络设备之间的连通性，包括ping测试和traceroute测试。
•检查设备之间的链路状态，包括端口状态、链路速率等。
•检查设备之间的路由表，确保路由信息正确。
•检查设备的ACL配置，确保网络安全性。
•检查设备的QoS配置，确保网络性能。
3. 巡检结果记录根据巡检内容，记录巡检结果如下：设备名称巡检项目巡检结果Switch1 物理巡检正常系统巡检正常网络巡检正常Router1 物理巡检正常系统巡检正常网络巡检正常Firewall1 物理巡检正常系统巡检正常网络巡检正常Access1 物理巡检正常系统巡检正常网络巡检正常Access2 物理巡检正常系统巡检正常网络巡检正常Access3 物理巡检正常系统巡检正常网络巡检正常Access4 物理巡检正常系统巡检正常网络巡检正常4. 改进建议根据巡检结果，提出改进建议如下：•开展定期物理巡检，确保设备外部连接牢固稳定。
交换机日常维护自检表
网络设备自检表
附注：设备状态指示灯及说明
系统状态指示灯：单板面板上的指示灯分别代表电源模块、风扇框、及单板本身的工作状态。
⏹电源指示灯（PWR）：PWR1、PWR2，对应两个电源（交流或直流）模块的状态。
OK：灯亮表示该灯指示的电源正常工作，灯灭表示该灯指示的电源有故障或该电源不在位；
FAIL：灯亮表示该灯指示的电源有故障，灯灭表示该灯指示的电源正常或该电源不在位；
⏹风扇指示灯（FAN）：对应风扇框的状态，红灯常亮表示风扇框有故障；
⏹单板指示灯（SLOT、ACTIVE）
SLOT：对应槽位的单板状态。
RUN：灯常亮或常灭表示单板有故障或不在位，闪烁表示单板正常工作；
ALM：灯常灭表示单板无故障或不在位，常亮表示单板有故障；
ACTIVE：表示业务处理引擎的主备工作状态，灯亮表示工作在主用状态，灯灭表示工作在备用状态。
如果指示灯处于快速闪烁中，表示单板正处于启动过程中，并没有正常工作。
在系统初始启动时，ALM指示灯会亮一段时间，并不表示单板有故障。
华为交换机巡检指导书
华为交换机巡检指导书文件排版存档编号：[UYTR-OUPT28-KBNTL98-UYNN208]交换机巡检指导书华为技术华为技术综合业务技术支持部资料编码使用对象编写部门产品名称产品版本资料版本综合业务技术持部拟制：日期：2023-07-10日期：日期：日期：修订记录日期本作者描述目录1说明 (4)2外部环境检查 (4)杋房环境检查 (4)硬件安装检查 (4)电源检查 (4)连接线检查 (5)3根本工作状态检查 (5)状态灯检查 (5)内部工作环境检查 (5)工作日志检查 (6)交换机运行时间检查 (7)硬件配置的检查 (8)端口工作状态检查 (8)4根本配置检查 (9)机器名检查 (9)时间检查 (9)NTP 时间设置检查 (9)口令检查 (10)远程登录检查 (10)日志配置检查 (10)SNMP 配置检查 (11)端口配置检查 (11)VLAN 配置检查 (11)TRUNK 配置检查 (12)5性能检查 (1)3端口流量检查 (13)CPU 使用状况检查 (13)6附录：交换机巡检清单 (13)1说明因产品线在线交换机多为 Cisco 公司的交换机，本清单的配置命令以 Cisco 交换机参考。
具体命令参看随机配置手册，华为公司交换机的命令不同时，可参考相应配置手册。
2外部环境检查机房环境检查交换机是数据网络中的关键设备，应放置在特地的计算机机房中。
机房的湿度、湿度、清洁、卫生等环境因素应符合计算机机房的要求。
检查目的：保证交换机的工作环境符合要求。
检查方法：观看机房的湿度、湿度、清洁等环境状况。
硬件安装检查交换机应放置在机柜中，而且固定良好，全部螺丝全部拧紧，但不要扭伤螺纹和螺帽。
机柜内无残留杂物，没有板卡的插槽都装有相应的挡板或挡片，保持设备内的通风、散热，避开灰尘进入设备，造成设备运行特别。
检查目的：保持交换面运行时不会松动，且设备通风、散热良好，不会由于环境原因导致特别运行。
检查方法：观看交换机的安装状况，必要时可以人为晃动设备。
交换机日常维护自检表
网络设备自检表
附注：设备状态指示灯及说明
系统状态指示灯：单板面板上的指示灯分别代表电源模块、风扇框、及单板本身的工作状态。
⏹电源指示灯（PWR）：PWR1、PWR2，对应两个电源（交流或直流）模块的状态。
OK：灯亮表示该灯指示的电源正常工作，灯灭表示该灯指示的电源有故障或该电源不在位；
FAIL：灯亮表示该灯指示的电源有故障，灯灭表示该灯指示的电源正常或该电源不在位；
⏹风扇指示灯（FAN）：对应风扇框的状态，红灯常亮表示风扇框有故障；
⏹单板指示灯（SLOT、ACTIVE）
SLOT：对应槽位的单板状态。
RUN：灯常亮或常灭表示单板有故障或不在位，闪烁表示单板正常工作；
ALM：灯常灭表示单板无故障或不在位，常亮表示单板有故障；
ACTIVE：表示业务处理引擎的主备工作状态，灯亮表示工作在主用状态，灯灭表示工作在备用状态。
如果指示灯处于快速闪烁中，表示单板正处于启动过程中，并没有正常工作。
在系统初始启动时，ALM指示灯会亮一段时间，并不表示单板有故障。
XXX网络交换机设备巡检手册
XXX网络交换机设备巡检手册XXX网络交换机设备巡检手册CONTENTS目录目录第一章第二章2.1XXX网络交换机设备巡检项目检查指导2.1.22.1.32.1.42.1.52.1.62.1.72.1.8机房环境机房清洁度设备电源及风扇检查设备运行温度检查设备供电系统检查机柜内部环境检查消防检查防盗检查.22.32.42.5第四章第五章网络拓扑巡检报告单网络链路状况巡检单网络设备巡检单-(防火墙)第一章3第一章一、环境巡检XXX网络交流机装备巡检工程装备巡检工程包括以下9方面内容。
二、配置信息检查三、运行状态搜检：cpu，内存状态搜检，网络端口状态搜检，日记搜检等四、网络设备软件版本信息五、设备持续运行时间6、装备模块运行状态七、装备风扇及电源状况八、设备运行机箱温度9、装备外表清洁第二章4第二章2.1检查指导环境巡检2.1.1机房环境维护项目温度状况操纵指导观察机房内温度计指示，并记实数据。
参考标准在正常情况下，机房长期工作环境温度应在°C～XXX之间，短期工作环境温度应在-5°C～55°C之间。
若机房的环境温度长期不能满足要求，维护人员应考虑检修或更换机房的空调系统。
检查空调制冷度、开关情况等，空调制XXX应齐备无损，开关接触良好。
湿度状况观测机房内湿度计指示，并记录数据。
在正常情况下，机房的长期工作环境相对湿度应在5% RH（Relative Humidity）～85% RH之间，短期工作环境相对湿度应在% RH～95% RH之间。
若机房的相对湿度过大，运营商应考虑为机房安装除湿设备；若机房的相对湿度过小，运营商应考虑为机房安装加湿设备。
2.1.2机房清洁度维护项目清洁状况操纵指导观察机房内装备外壳、设备内部、机架内各通风口、地板、桌面。
参考标准所有项目都应干净整洁无明显尘土附着。
留意通风口的清洁状况，及时清洗，以免影响机柜门及风扇框的通风、散热。
设备正常工作时，要求保持风扇正常运转（清理风扇期间除外），擅自关闭风扇会引起设备温度升高，并可能损坏单板。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
密码策略
idle-timeout 关闭AUX
日志服务
SNMP管理和 log管理安全
配置不足 SNMP读写密码
其他
限制管理主机地址 未禁止没有使用或 空闲的端口
源地址路由检查
设置密码重试次数和超时时间 相关命令： [Quidway] ssh server authentication-retries 4 [Quidway] ssh server timeout 80 建议5分钟内 [Quidway-ui-console0] idle-timeout 1 30 如不使用建议关闭 相关命令： [Quidway-ui-aux0] undo modem call-in 为增强日志审计，建议开启 相关命令： [Quidway]info-center enable [Quidway]info-center loghost 1.1.1.1 [Quidway] info-center loghost source Ethernet 3/0/0
防止ICMP-based denial of service (DoS)
相关命令：
禁用不需要 的接口服务
ICMP
unreachable
# 在GE1/0/0接口关闭ICMP主机不可达报文发送功 能。 [Quidway] interface gigabitethernet 1/0/0
[Quidway-GigabitEthernet1/0/0] undo icmp
host-unreachable send
禁用不需要 的接口服务
arp-proxy
符合要求的header 设置
设置用户名和密码
防止DoS攻击 相关命令：
在子接口GE1/0/0.1上关闭ARP Proxy功能。 [Quidway] interface gigabitethernet 1/0/0.1 [Quidway-GigabitEthernet1/0/0.1] undo arpproxy enable
存在Hale Waihona Puke 被攻击的安全漏洞相关命令：
ICMP redirect
# 在GE1/0/0接口关闭ICMP重定向报文发送功能。 [Quidway] interface gigabitethernet 1/0/0
[Quidway-GigabitEthernet1/0/0] undo icmp
redirect send
# 只允许第2028号访问列表中的peer对本地设备
进行时间请求、查询控制。
[Quidway] ntp-service access-group
synchronization 2828
未禁止Dhcp 服务
Server
防止对网络稳定的影响 相关命令： # 关闭Dhcp服务
[Quidway] undo dhcp enable
防止信息失密和配置丢失
未禁止FTP服务
相关命令： # 关闭FTP服务器
[Quidway] undo ftp server
防止服务对网络设备时间造成影响，如需开启，
建议进行访问控制权限配置
相关命令：
# 设置允许第2000号访问列表中的peer可以对本
禁用不需要 的全局服务
未禁止NTP服务
地设备进行时间请求、查询控制、时间同步。 [Quidway] ntp-service access peer 2000
abcd
限制远程登录源地 址
相关命令： [Quidway] acl number 2001 [Quidway-acl-basic-2001] rule 0 permit source X.X.X.X [Quidway] user-interface vty 0 4 [Quidway-ui-vty0-4] acl 2001 inbound
设置强壮的读写密码，如无需要可关闭写服务 [Quidway] snmp-agent community read comaccess [Quidway] snmp-agent community write mgr 默认SNMP读写口令为：public、private，如未修 改则存在脆弱性
相关命令： [Quidway] snmp-agent community read public acl 2000 相关命令： [Quidway-Ethernet3/0/0]shutdown 防止使用地址欺骗的攻击 相关命令： Quidway-GigabitEthernet1/0/0] ip urpf strict allow-default-route acl 2999
远程登录采用加密 传输（SSH)
相关命令： [Quidway-aaa] local-user hello@ service-type ssh
设置切换低级别用 相关命令：
路由器安全 户到高级别用户的 [Quidway] super password level 3 cipher
访问 密码
header不应当出现对攻击者有价值的信息，如路 由器的名字、型号、运行的软件以及所有者的信 息等 相关命令： [Quidway] header shell information %
可采用用户分级管理 相关命令： [Quidway-aaa] local-user hello@ password cipher hello [Quidway-aaa] local-user hello@ level 3