H3C 路由器安全基线 命令填写表（V7/V9 MSR、SR、CR 系列通用）

适用：MSR26/36/56、SR88、CR16000 等 H3C V7/V9 路由器，全部为系统视图 system-view下配置

表格

补充说明（写进文档备注）

1. Finger、Small 服务：H3C V7/V9 平台路由器原生不内置、默认不开启，没有对应的关闭命令，基线验收直接备注：设备无Finger、TCP/UDP small服务组件，不存在该类监听端口，满足基线要求。这是和思科设备最大差异，很多基线文档直接照搬 cisco 命令会踩坑。
2. 口令加密补充：
   • local-user password-display-mode cipher-force 强制密码密文展示，display current-configuration看不到明文密码；
   • 路由协议（BGP/RIP/OSPF）认证密钥、SNMP 团体字，配置时用 cipher 参数保存，密文存储。
3. IP 源路由：undo ip option source-route enable，执行后设备收到带源路由选项 IP 包直接丢弃，阻断源路由欺骗。

验证查看命令（可选加到文档，用于验收核查）

根据你提供的文档需求，H3C路由器（Comware V7/V9平台）对表格中四项安全基线的支持情况如下：

 安全基线命令填写参考

 各项详细说明

认证口令加密

配置命令：

该命令强制所有本地用户密码以密文形式存储和显示，即使用户后续指定明文方式也不起作用。对于路由协议认证口令，建议在OSPF/BGP等协议中配置认证时使用cipher参数；SNMP团体字默认以密文存储。

禁用finger服务

H3C Comware平台出厂默认不启用finger服务，设备上没有对应的开启/关闭命令。H3C知了社区官方问答明确指出：“这几个都不是H3C的协议名称，例如ip finger，应该是思科的配置。设备默认是不会开启什么服务的，所以可以不用特意关闭”。另有社区回答进一步确认：“H3C V7/V9路由器默认无finger服务，无需配置关闭”。

文档填写建议：备注“本平台不启用Finger服务，不存在该服务监听端口（H3C设备没有service finger这条命令，出厂未内置finger服务）”。

禁用TCP和UDP低端口服务

H3C Comware平台默认不开启echo、chargen、daytime等TCP/UDP small服务，设备上没有对应的开启/关闭命令。

如果需要主动拦截这些端口，可以通过ACL实现，示例：

文档填写建议：备注“H3C V7/V9路由器默认不开启small小服务，无对应开启/关闭命令；如需强制拦截，可通过高级ACL匹配对应端口”。

禁用IP源路由

H3C Comware平台不支持IP源路由功能，设备没有类似Cisco的ip source-route命令。H3C知了社区官方问答明确回复：“H3C貌似没类似功能……华三没有源路由这一说法，这个是思科有的功能”。

文档填写建议：备注“H3C平台不支持IP源路由功能，默认不转发带有源路由选项的IP报文，无需配置”。