远程管理收口：交换机停 Telnet 走 STelnet 并限定网段

网络设备一年也登不了几次，但登的那几次用的若是明文 Telnet，整网安全就留了一个暗门：管理账号密码在链路上裸奔，同网段抓个包就到手。华为交换机默认支持 SSH 方式的安全登录（STelnet），把远程管理从 Telnet 切到 SSH、再把来源网段收窄，是每台设备上线就该做的基本动作。

为什么必须弃 Telnet

Telnet 的所有交互明文传输——密码、配置命令、回显全在网上跑，攻击者无需攻破设备，搭个旁听位置就能捡到管理员凭据。SSH（STelnet）全程加密，配合密钥认证，同样是远程命令行，风险面天差地别。存量网络里 Telnet 常是"历史习惯"：老脚本、老同事的习惯。切 SSH 的成本极低，没有理由保留。

配置四步

第一步生成本地密钥对，这是 SSH 服务的地基。第二步启用 STelnet 服务并设好认证方式：推荐 AAA 认证，本地建管理员账号、设密码策略，服务类型限定 ssh。第三步在 VTY 用户界面里收紧：认证模式指向 AAA、允许的入方向协议只留 SSH、会话超时设短。第四步限定来源：用 ACL 只放行运维网段访问 22 端口，其余来源在 VTY 层直接拒绝——这一步把"全网段都能尝试登录"收缩成"只有运维区能登"。

收口后的三件配套

一是最后关掉 Telnet：确认 SSH 登录顺畅后，从 VTY 允许协议里移除 telnet，个别真离不开明文管理的老设备，隔离到管理 VLAN 里再评估。二是账号分级：日常巡检用只读账号，变更用管理员账号，操作日志开启记录——谁在什么时候改了什么，要有账可查。三是密钥与算法跟进：设备系统老旧时，SSH 支持的加密算法可能已被现代客户端视为弱算法，升级设备系统比关掉告警更正确。

验收标准

切完后按三条验收：从运维网段 SSH 登录正常、从非授权网段登录被拒、抓包验证管理流量已加密。三条全过，这轮管理面收口才算完成。

设备管理面是攻击者最值钱的目标——登上去一台，全网拓扑和凭据就都露了。贵州诚鑫致达科技接手客户网络运维时，第一轮巡检必做管理面收口：Telnet 换 SSH、来源网段白名单、账号分级、操作留痕，四项写进整改清单闭环——网络安全不是从防火墙开始的，是从管理通道加密开始的。

企业存储选型参考｜贵州诚鑫致达

用 DS918+/DS920+/DS1517+/DS1817+ 等经典机型的老用户，群晖机型参考：可平滑升级到 DS1522+ · DS1823xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。