H3C MSR5620 Series 漏洞不升级版本的情况下如何加固

Version 7.1.064, Release 6749P2102

漏洞规避措施：

[H3C]ssl server-policy fxm

[H3C-ssl-server-policy-fxm]ci

[H3C-ssl-server-policy-fxm]ciphersuite ? //选个非EDS，3EDS的算法

  dhe_rsa_aes_128_cbc_sha Cipher suite that uses DHE RSA, 128-bit AES_CBC, and

                           SHA

  dhe_rsa_aes_256_cbc_sha Cipher suite that uses DHE RSA, 256-bit AES_CBC, and

                           SHA

  exp_rsa_des_cbc_sha Export cipher suite that uses RSA, DES_CBC, and SHA

  exp_rsa_rc2_md5 Export cipher suite that uses RSA, RC2, and MD5

  exp_rsa_rc4_md5 Export cipher suite that uses RSA, RC4, and MD5

  rsa_3des_ede_cbc_sha Cipher suite that uses RSA, 3DES_EDE_CBC, and SHA

  rsa_aes_128_cbc_sha Cipher suite that uses RSA, 128-bit AES_CBC, and SHA

  rsa_aes_256_cbc_sha Cipher suite that uses RSA, 256-bit AES_CBC, and SHA

  rsa_des_cbc_sha Cipher suite that uses RSA, DES_CBC, and SHA

  rsa_rc4_128_md5 Cipher suite that uses RSA, 128-bit RC4, and MD5

  rsa_rc4_128_sha Cipher suite that uses RSA, 128-bit RC4, and SHA

重启https服务。

undo ip https enable

ip https enable

说明：部分告警受固件限制，只能缓解，无法彻底消除扫描告警；优先缩小攻击面，限制管理访问。

✅可以配置修复（红 / 橙高危）

1. SSL/TLS：关闭 SSLv2/v3、TLS1.0/1.1；关闭 SSL 重协商，防护受诫礼攻击；关闭 SSL 会话恢复。

⚠️老版本不能剔除 RC4、CBC、RSA 弱套件，扫描仍会报，无法通过配置根除。

2. SSH：仅启用 SSH v2，关闭 Telnet；配置 ACL 只允许管理网段访问 SSH。
3. NTP Mode6：不需要做 NTP 服务就关闭 ntp‑service；需要对外提供 NTP 则用 ACL 限制访问源。
4. ICMP 信息泄露：关闭 ICMP 掩码应答、时间戳应答、TTL 超时报文，阻止 traceroute 探测。
5. FTP：不用就直接关闭；必须用则 ACL 限制仅管理网段访问。
6. Web 管理：http/https 配置 ACL，只允许运维网段访问。

⚠️无法通过配置消除（原理扫描，信息泄露）

• SSH/SSL 弱加密套件、RSA 密钥交换、SSH 版本泄露、SSL 证书信息探测、TLS1.2/1.3 检测等。

这些是固件底层特性，不升级版本没有命令可以关闭，只能靠 ACL 限制外部访问来降低风险。

🎯核心原则

1. 高危协议尽量关闭；
2. 所有管理服务（SSH、Web、NTP、FTP）全部做源 ACL 限制，只允许管理网段访问，这是不升级版本最重要防护；
3. 报告备注：受固件版本限制，部分原理扫描告警无法根除，已完成配置加固。

验证命令