华三终端准入设备Magicbox-20000

端口业务用途

1. TCP 8080：iMC 的 Tomcat Web 管理端口，访问 iMC 管理页面http://魔盒IP:8080/imc，管理员后台管理使用； 终端 Portal 网页认证、iNode 客户端终端准入，并不依赖 8080 端口（Portal 重定向由 AC / 接入设备处理，iMC RADIUS 认证使用 UDP 1812/1813）H3C。
2. TCP 61616：内置 ActiveMQ 消息中间件 OpenWire 协议端口，iMC 内部组件之间消息通信；终端电脑不会直接访问 61616 端口，是服务器内部组件交互端口，存在著名 CVE‑2023‑46604 远程代码执行漏洞，等保高危风险点。

⚠️注意：你题目写的616161属于笔误，实际是61616。

直接在防火墙封禁两个端口的后果

①封禁 61616（TCP）

• 如果防火墙在魔盒本机 / 服务器内网之间拦截：iMC 各个模块（EIA/EAD/ 设备管理）之间消息通信中断；会造成：
  • iNode 终端安全准入、策略下发、离线检测、告警、设备同步全部异常；终端认证会出问题；
  • iMC 后台部分功能卡死，页面报错。
• 如果防火墙仅阻止外网 / 非信任网段访问 61616，信任内网（接入设备、终端网段）允许访问魔盒 61616：不会影响业务。

❗不能直接全局全部阻断 61616，它是 iMC 内部消息总线，外部终端不会访问，但 iMC 自己组件要使用。

②封禁 8080（TCP）

• 防火墙全局阻断所有源访问 8080：管理员无法登录 iMC Web 管理界面；
• 但终端 iNode 客户端、Portal 网页认证业务不受影响（终端认证不走 8080）。

正确安全整改方案（不破坏准入认证业务，满足等保）

❌错误做法：防火墙直接 drop 全部源 IP 访问魔盒 8080、61616。 ✅推荐方案：访问控制做源 IP 白名单，而不是一刀切封禁端口

1. 端口 61616（ActiveMQ）
   • 防火墙策略：仅允许 Magicbox 本机回环 + IMC 服务器自身访问 61616，所有其他业务网段（终端、AC 设备）全部拒绝访问 61616。
   • 效果：阻断外部利用漏洞攻击；iMC 内部组件还可以正常通信，终端准入认证完全不受影响。
   • 备选：升级 iMC 版本修复 ActiveMQ 漏洞，从根源消除 CVE‑2023‑46604 风险，不需要封堵端口。
2. 端口 8080（iMC Web 管理）
   • 防火墙策略：仅运维管理网段 / 管理员电脑 IP 允许访问魔盒 8080；业务终端、接入 AC 网段禁止访问 8080。
   • 终端认证业务完全不受影响，只有管理员才能打开 iMC 网页。
   • 最佳实践：改成 HTTPS 443 访问 iMC，关闭 8080 HTTP 服务。

3. 终端准入真正需要放通的端口（不要误封）

   表格

   端口	协议	用途	访问关系
   1812	UDP	RADIUS 认证	AC / 接入设备 → Magicbox‑20000
   1813	UDP	RADIUS 计费	AC / 接入设备 → Magicbox‑20000
   7890	TCP	iNode EAD 终端策略下发	终端 PC → Magicbox‑20000H3C

这三个端口必须允许，一旦拦截会直接造成终端 iNode/Portal 认证失败。

总结回答你的问题

如果直接在防火墙一刀切封禁所有 IP 访问 8080、61616：

1. 8080：终端认证不受影响，但管理员无法登录 iMC 管理后台。
2. 61616：会破坏 iMC 内部消息交互，导致 iNode 终端准入、安全策略下发异常，电脑终端认证出问题，绝对不能直接全部阻断。

正确：不要直接封禁端口，用源 IP 白名单限制外部网段访问这两个高危端口，保留 iMC 本机内部通信权限，这样既解决等保漏洞风险，又保障终端电脑认证业务正常运行。