等保二级 交换机安全配置模板（H3C)

#首先是定义时区和时间，推荐用NTP
clock timezone beijing add 08:00:00
clock protocol ntp
#其次是定义日志服务器，这边指定发送日志的接口是SVI VLAN2
info-center loghost source Vlan-interface2
info-center loghost 192.168.0.203
#打开SSH服务，并且只允许堡垒机来访问设备
ssh server enable
ssh server acl 2000
#打开IP地址冲突日志记录功能
arp ip-conflict log prompt
#使能NTP服务，并且指定NTP出接口，指定NTP服务器
ntp-service enable
ntp-service source Vlan-interface3
ntp-service unicast-server 202.112.29.82
#仅允许堡垒机访问核心交换机，在SSH 下调用
acl basic 2000
description Baoleiji_ssh_to_core_sw
rule 0 permit source 192.168.0.202 0
rule 20 deny
#仅允许服务器网段访问安全管理网段，在interface vlan 下调用
acl basic 2002
description ban_anquanguanli
rule 0 permit source 192.168.100.0 0.0.0.255 logging
rule 5 deny
#仅允许客户端网段和安全管理网段访问服务器网段 在interface vlan 下调用
acl basic 2003
description ban_to_server
rule 0 permit source 192.168.0.0 0.0.255.255 logging
rule 1 permit source 192.168.101.0 0.0.0.255 logging
rule 5 deny
#仅允许堡垒机访问服务器的22端口
acl advanced 3000
description ban_other_to_tcp_22
rule 0 permit tcp source 192.168.0.202 0 destination-port eq 22 logging
rule 5 deny tcp destination-port eq 22 logging
rule 10 permit ip
#服务器网段 仅允许客户端和安全管理网段流量进入
interface Vlan-interface100
ip address 192.168.100.254 255.255.255.0
packet-filter 2003 inbound
#安全管理设备网段 仅允许服务器和客户端网段流量进入
interface Vlan-interface101
ip address 192.168.101.254 255.255.255.0
packet-filter 2002 inbound
#在接服务器端口调用ACL 仅允许堡垒机访问服务器的22端口
interface GigabitEthernet1/0/8
description connect_to_server_192.168.0.208
port access vlan 2
packet-filter 3000 inbound
#使能密码控制 密码最小长度8位 密码组成3种类型 密码输错8次锁定2分钟 密码过期由于用堡垒机管理，这里选择不过期，然后关闭首次登录必须修改密码操作
password-control enable
password-control length 8
password-control composition type-number 3
password-control login-attempt 8 exceed lock-time 2
undo password-control aging enable 如果这句没写 那么需要增加 password-control login idle-time 0 过期后账户永久有效
undo password-control change-password first-login enable
#创建非admin名称管理员
local-user PW class manage
service-type ssh terminal
password simple fuzamima
authorization-attribute user-role network-admin
#创建审计员
local-user user class manage
service-type ssh terminal
password simple fuzamima
authorization-attribute user-role network-operator
#关闭telnet http https服务
undo telnet server enable
#配置超时时间
line aux 0
authentication-mode scheme
user-role network-admin
idle-timeout 30 0
#远程登录仅允许SSH 并配置超时时间
line vty 0 63
authentication-mode scheme
user-role network-admin
user-role network-operator
protocal inbound ssh
idle-timeout 30 0

exit
sav f
#业务 服务器 安全设备 交换机自身管理 分别1个VLAN 并做VLAN间ACL