华为企业级路由器完整版实战配置

华为 AR2200/AR3200/AR6200/AR6300 全系列，VRP5、VRP8 通用，企业机房标准出口组网，无兼容bug。

实际组网场景

G0/0/0 对接运营商外网宽带/专线；G0/0/1 下联核心交换机内网；全程支持内网全员上网、远程运维安全接入、内网路由全互通、基础网络安全防护、防端口扫描防攻击，配置闭环无遗漏。

一、基础底盘全加固配置（机房上线必做，防篡改防乱改）

二、三层管理员账号+全加密远程运维（杜绝弱密码、杜绝裸奔Telnet漏洞）

|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| # 创建最高权限运维账号，加密存储，不泄露明文 $HQ-出口核心路由器$ local-user NetAdmin password irreversible-cipher NetCore@202605 # 创建加密运维账号，密码不可逆加密 $HQ-出口核心路由器$ local-user NetAdmin privilege level 15 # 设置账号最高15级权限，拥有全部操作权限 $HQ-出口核心路由器$ local-user NetAdmin service-type ssh terminal # 允许该账号SSH远程、本地终端登录 # 关闭不安全明文协议，只保留加密SSH运维（远程配置核心基础） $HQ-出口核心路由器$ user-interface vty 0 15 # 进入0-15所有虚拟远程终端线路 $HQ-出口核心路由器-ui-vty0-15$ authentication-mode aaa # 远程登录采用AAA账号密码认证 $HQ-出口核心路由器-ui-vty0-15$ protocol inbound ssh # 仅允许SSH协议登录，禁用Telnet明文 $HQ-出口核心路由器-ui-vty0-15$ idle-timeout 5 # 远程终端5分钟无操作自动下线 $HQ-出口核心路由器-ui-vty0-15$ quit # 退出VTY视图 $HQ-出口核心路由器$ ssh server enable # 全局开启SSH远程服务 $HQ-出口核心路由器$ ssh server encryption-algorithm aes-256 # 采用AES256高强度加密算法 $HQ-出口核心路由器$ ssh server hmac-algorithm sha2-256 # 采用SHA256哈希校验，防数据篡改 # 补充远程配置核心命令（含SSH密钥登录、远程端口修改，提升安全性） # 1. 配置SSH密钥登录（比密码登录更安全，远程运维首选） $HQ-出口核心路由器$ rsa local-key-pair create # 生成本地RSA密钥对，用于SSH加密认证 The key name will be: Host The range of public key size is (512 ~ 2048). Input the bits in the modulus $default = 2048$ : 2048 # 密钥长度2048位，安全等级最高 Generating keys... .+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++* +* $HQ-出口核心路由器$ ssh user NetAdmin authentication-type publickey # 指定账号采用密钥认证 $HQ-出口核心路由器$ ssh user NetAdmin publickey import ssh-rsa "替换为运维人员公钥内容" # 导入运维本地公钥，免密登录 # 2. 修改SSH远程登录端口（默认22，修改后防暴力扫描） $HQ-出口核心路由器$ ssh server port 2222 # 更改SSH端口为2222，规避全网22端口批量扫描爆破 # 3. 配置远程登录ACL白名单（仅允许指定运维IP远程访问，杜绝非法远程接入） $HQ-出口核心路由器$ acl number 3000 # 创建高级ACL 3000，用于远程访问控制 $HQ-出口核心路由器-acl-adv-3000$ rule permit tcp source 192.168.1.10 0.0.0.0 destination-port eq 2222 # 仅允许运维固定IP远程SSH $HQ-出口核心路由器-acl-adv-3000$ rule deny tcp destination-port eq 2222 # 拒绝所有其他IP访问SSH端口 $HQ-出口核心路由器-acl-adv-3000$ quit # 退出ACL视图 $HQ-出口核心路由器$ user-interface vty 0 15 # 进入远程终端视图 $HQ-出口核心路由器-ui-vty0-15$ acl 3000 inbound # 入方向绑定白名单，严格管控远程接入IP $HQ-出口核心路由器-ui-vty0-15$ quit # 退出视图 # 4. 远程登录后常用运维命令（远程配置、排查必备） $HQ-出口核心路由器$ display device # 远程查看设备硬件运行状态 $HQ-出口核心路由器$ display ssh server status # 查看SSH服务运行状态、端口、加密算法 $HQ-出口核心路由器$ reset ssh server connection all # 强制清空所有异常挂死SSH连接 |

三、外网+内网双接口标准固化配置（IP写实、端口UP、现场直接对接）

四、全局路由闭环（默认外网兜底+内网全段静态回包，全网无黑洞路由）

五、标准ACL白名单+安全NAT上网（只放行内网合法网段，拦截非法私网入侵）

六、端口映射发布内网服务器（ERP/监控/官网后台，安全可控不裸奔）

七、企业OSPF动态路由全域互通（多楼栋多分厂自动学习路由，不用手动加）

八、全局防攻击+安全加固（防端口扫描、防DDOS、防内网病毒广播）

九、运维兜底+日志+设备健康监控（出问题秒排查，全程留痕）

十、上线必查+保存固化全套命令（不丢配置、不翻车）