锐捷网络eweb系统的锐捷密码问题，向来是网络网络管理员圈子里一个半公开的“秘密”。默认账号admin，管理密码admin——这个组合在多少高校机房、系统中小企业办公室里躺了十年以上，密码没人说得清。锐捷我见过最离谱的网络一次，某连锁酒店集团的管理分店IT，把eweb的系统登录密码直接写在便利贴上，粘在机房服务器机柜的密码侧面，路过的锐捷人一抬眼就能看见。 这不是网络个例。锐捷eweb作为老牌的管理网络管理平台，它的系统密码机制停留在“能用就行”的层面。系统没有强制密码强度校验，密码没有双因素认证，甚至连续输错五次密码都不会锁定账号。登录日志倒是会记录，但默认不开启告警推送，等于事后翻账本，黑客早把配置导走几轮了。 有人会辩解：eweb跑在内网，外网访问不到。这话放到五年前勉强成立。现在呢？远程办公、分支互联、VPN穿透，哪条路不是把内网服务暴露到公网的通道？我亲眼见过某制造企业的eweb被扫到，黑客用弱口令字典跑了不到三分钟就进去了，把核心交换机的VLAN配置改得一团糟，产线网络瘫痪了整整一个下午。事后排查，那个账号半年没改过密码，用的还是“ruijie@2020”。 真正让人头疼的是，eweb的密码重置流程也藏着坑。如果你忘了密码，官方文档写的是通过console口登录底层系统去改。但实际操作中，某些版本的固件，console口默认是禁用的，你得先想办法进到eweb的shell——这又绕回了密码问题。死循环。我认识的一位老网工，被这问题逼得直接给锐捷客服打电话，对方让他寄回设备返厂刷机。一台生产环境的汇聚交换机，返厂来回至少一周，业务损失谁扛？ 密码这事儿，说到底是人祸大于技术漏洞。锐捷在设备出厂时，明明可以在首次登录强制要求修改密码，但它没做。用户这边，觉得“反正内网，没人闲得慌来猜我密码”，这种侥幸心理才是最大的漏洞。我建议所有还在用eweb的单位，立刻做三件事：第一，把所有设备的默认密码全部换掉，用至少十二位的随机字符串；第二，在eweb的配置里开启登录失败锁定，虽然要靠手动脚本实现，但总比裸奔强；第三，如果条件允许，加一层堡垒机做跳板，让eweb的登录入口彻底藏起来。 别等出了事再拍大腿。密码这东西，改起来五分钟，不换可能就搭进去整个网络。你手里那台eweb，现在用的还是“admin”吗？如果是，今晚就改了吧。