中兴R5300 G4服务器BMC防火墙白名单实战：从零构建最小化访问策略

1. 为什么需要BMC防火墙白名单？

服务器运维中最危险的攻击面往往来自管理接口。去年某大型企业就曾因BMC默认密码暴露导致内网沦陷。中兴R5300 G4的BMC防火墙功能就像给服务器管理端口装上智能门禁，而白名单机制则是只给授权人员发放门禁卡。

我管理过上百台R5300 G4服务器，发现很多管理员存在两个极端：要么完全不开防火墙，要么配置过于宽松。正确的做法应该是基于业务需求构建最小化访问策略。比如我们的生产环境就只允许：

• 跳板机IP（10.10.1.100）
• 运维终端网段（192.168.5.0/24）
• 监控系统IP（10.20.30.40）

这种策略下，即使攻击者拿到密码也无法连接BMC。实测拦截过多次针对管理端口的SSH爆破尝试，效果非常显著。

2. 前期准备工作

2.1 环境确认清单

在开始配置前，建议准备好以下信息：

• 当前登录终端IP：通过ipconfig(Windows)或ifconfig(Linux)查看
• 需要放行的IP段清单：包括监控系统、运维终端、自动化工具等
• 备用连接方式：比如KVM over IP或现场console线，防止配置失误导致锁定
• 密码信息：默认账号zteroot/Superuser9!如果修改过请准备最新凭证

2.2 关键安全提醒

有次凌晨三点我配置防火墙时犯了个低级错误——没把当前SSH会话的IP加入白名单。结果规则生效瞬间，连接中断，不得不驱车赶往机房。给大家三个血泪教训：

1. 永远先加当前IP再切白名单模式
2. 本地网段建议放行/24整个段
3. 重大变更必须在工作时间操作

3. 分步配置指南

3.1 登录BMC管理界面

使用Chrome/Firefox访问：

https://192.168.5.7 # 默认管理地址

首次登录会提示证书风险，这是正常现象。建议先导出证书并导入到受信任机构，后续访问更安全。

登录后依次点击：

设置 → 系统防火墙 → IP地址防火墙规则

这里能看到当前所有防火墙规则（初始应为空）。

3.2 添加第一条白名单规则

点击"添加IP规则"，按以下格式填写：

• IP开始：你当前的外网IP（如203.179.25.33）
• IP结束：留空表示单IP
• 协议：选择TCP
• 端口范围：443（BMC默认HTTPS端口）
• 动作：允许

特别注意：如果通过NAT访问，需要填写公网IP而非内网IP。有次我误填了内网地址导致全员被锁，这个坑希望大家避开。

3.3 批量添加网段规则

对于需要放行的整个网段（如192.168.5.0/24），配置示例：

IP开始：192.168.5.1 IP结束：192.168.5.254 协议：TCP+UDP # 兼顾ICMP等协议 端口范围：1-65535 # 全端口放行

企业级环境中建议使用CIDR格式精确控制：

10.10.1.0/24 # 运维部专用网段 172.16.30.64/28 # 监控系统专用

3.4 规则优化技巧

通过"现有IP规则"页面可以：

1. 测试性禁用：临时关闭某条规则而不删除
2. 备注标注：给每条规则添加用途说明
3. 导出备份：定期保存规则配置文件

我习惯用这样的命名规范：

[团队]_[用途]_[有效期] 示例： OPS_JumpServer_Permanent MONITOR_Zabbix_20241231

4. 策略生效与验证

4.1 切换白名单模式

在"系统防火墙"主页面：

1. 将IPv4默认策略改为"白名单"
2. 勾选"立即生效"
3. 点击保存

关键检查点：

• 确保当前会话IP已在规则中
• 确认至少有一个本地网段被放行
• 检查时间设置是否正确（避免规则过期）

4.2 多维度验证方法

基础验证：

ping 192.168.5.7 # 非白名单IP应无法ping通 telnet 192.168.5.7 443 # 端口访问测试

高级验证： 使用nmap扫描工具（从非白名单主机）：

nmap -Pn -p 443,623 192.168.5.7

正常应显示所有端口filtered（被过滤）

终极测试：

1. 清除浏览器缓存
2. 用未授权设备尝试登录BMC
3. 确认返回连接拒绝提示

5. 日常维护建议

建立防火墙规则只是第一步，我推荐这些管理实践：

变更管理：

• 任何规则变更必须走工单审批
• 临时规则设置自动过期时间
• 每月进行规则审计

监控报警：

• 记录所有被拦截的连接尝试
• 对频繁触发告警的IP进行溯源
• 设置规则修改短信通知

备份策略：

# 导出当前配置 curl -k -u zteroot:Superuser9! https://192.168.5.7/api/firewall/export > bmc_fw_backup_$(date +%Y%m%d).json

遇到配置故障时，可以通过iKVM控制台重置防火墙规则。具体操作是长按前面板NMI按钮6秒，这个操作会保留其他设置仅重置网络策略。