防火墙管理页面怕被人乱开？华为Web登录配ACL只放行管理员网段
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
防火墙的 Web 管理界面开着 HTTPS 登录，可只要能路由到设备的人都能打开登录页试密码，总觉得不踏实。华为防火墙的 Web 管理可以做多层收紧：账号密码、HTTPS 服务、访问来源 ACL 限制，甚至客户端证书双向认证。本篇按官方文档把"登录设备 Web 界面"这条配置线走一遍，重点放在账号创建与 ACL 限制上。
第一步，新建本地账号。首次登录设备没有缺省帐号，必须先创建。进入系统视图和 AAA 视图后，配置用户名密码、服务类型为 http、级别为 3。
system-view
aaa
local-user user-name password irreversible-cipher ir-password
local-user user-name service-type http
local-user user-name privilege level 3
官方特别注明：配置用户级别这一步必须配置，否则无法通过 Web 界面登录设备；用户级别为 3 的用户默认可以访问所有页面。
第二步，开启 HTTPS 服务，并可选配置 HTTP 强制跳转 HTTPS。
web-manager enable [ port port-number ]
web-manager http forward enable
开启跳转功能后，如果使用 HTTP 协议访问设备 Web 界面，设备会自动使用安全性更高的 HTTPS 协议进入；未开启该功能时，无法使用 HTTP 协议访问 Web 界面。
第三步（可选但推荐），通过 ACL 限制访问 Web 界面的用户地址。
web-manager acl { acl-number | acl-name }
web-manager ipv6 acl { acl6-number | acl6-name }
规则逻辑很直接：ACL 规则中动作为 Permit 的流量允许访问 Web 界面，动作为 Deny 的流量禁止访问；一旦配置此功能，未命中 ACL 规则的流量无法访问 Web 界面。实际使用时建一条只放行管理员办公网段的 ACL，其他网段连登录页都刷不出来。
第四步（可选），证书相关的加固。可以指定设备向客户端发送的服务器证书（支持 RSA/ECC 证书，也支持 SM2 国密证书）：
web-manager security server-certificate server-certificate-file
web-manager security server-certificate sm2 encryption server-certificate-file signature signature-certificate-file
还可以启用设备与客户端之间的证书双向认证——客户端登录时要出示证书，设备用 CA 证书校验：
web-manager security verify-ssl-peer
web-manager security ca-certificate ca-certificate
官方两点提醒：客户端是否信任证书，取决于客户端浏览器中是否导入了证书颁发者的 CA 证书，不导入 CA 证书时客户端仍可访问设备，但无法验证设备证书的合法性，容易受到攻击；本地证书由多级 CA 机构颁发时，需要将本地证书和 CA 证书制作成证书链文件导入设备，不能分开单独导入，否则登录界面下载到的 CA 根证书无法消除访问时的非安全告警。
第五步，限定可访问 Web 的地址或接口。缺省情况下可通过管理口访问 Web 界面（USG6000F-S30/S50/S112/S115/S125 缺省可通过管理口 GE0/0/0 访问）。如果从非管理口登录，需要配置可用的 IP 地址或接口，二者选其一：
web-manager { ipv4 | ipv6 } server-source -a ip-address [ vpn-instance vpn-instance ]
web-manager server-source -i interface-type interface-num
web-manager server-source all-interface
官方文档另有一句部署提醒：如果通过非管理口登录设备，需要将非管理口加入安全区域，同时允许 https 方式访问该接口（service-manage https permit），或者关闭该接口访问控制功能（undo service-manage enable）并配置对应安全策略允许用户访问该接口。
最后连线登录：管理员 PC 网口与设备登录接口通过网线或二层交换机相连，浏览器访问登录接口的 IP 地址和端口，用第一步创建的帐号密码登录，首次登录时设备会提示修改密码。验证方面，执行 display web-manager { configuration | users [ brief ] } 可查看 Web 服务器配置和当前登录用户信息——平时留意在线用户列表，发现陌生账号及时处理。
账号、ACL、证书三层收紧做完，管理页面就只剩你能打开了。欢迎搜索关注贵州诚鑫致达科技，交流网络设备安全管理的实践经验。
企业存储选型参考｜贵州诚鑫致达
老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。贵州县域市场：县城及乡镇企业存储、办公网络与监控存储。