新华三交换机S5560X-54C-EI 是否存在可开放的GTP协议

不支持

S5560X-54C-EI 确实内置 GTP ALG 解析能力（默认开启），对应漏洞 WAYJ202503007L2 成因：交换机默认开启 GTP ALG 应用层网关，会解析 UDP 2123 (GTP-C)、2152 (GTP-U)、3386 (SGSN) 端口的 GTP 报文，存在协议解析漏洞，国网整改要求关闭 GTP ALG + 全局拦截这 3 个 UDP 端口。
该交换机并非移动承载网，内网无 5G/2G 基站、核心网设备，完全可以关闭 GTP 解析、封堵对应端口，不会影响业务。
一、核心整改两条动作（必做）
动作 1：全局关闭 GTP ALG（彻底关闭交换机 GTP 协议解析）
plaintext
system-view
undo alg gtp
# 验证是否关闭
display alg
# 查看结果中 gtp: Disabled 即为生效
ALG 作用：交换机解析 GTP 隧道报文、自动放开隧道内流量；关闭后交换机不再识别解析 GTP 报文，封堵漏洞入口。
动作 2：ACL 全局拦截 UDP 2123、2152、3386 三个端口（兜底防护）
1）创建 ACL 规则拒绝 GTP 端口
plaintext
acl number 4000
rule deny udp eq 2123
rule deny udp eq 2152
rule deny udp eq 3386
rule permit ip
2）全局下发 ACL，所有 VLAN、所有接口生效
plaintext
packet-filter global inbound acl 4000
packet-filter global outbound acl 4000
二、完整可一次性粘贴配置
plaintext
system-view
# 1.关闭GTP ALG解析
undo alg gtp

# 2.创建ACL封禁GTP对应UDP端口
acl number 4000
rule deny udp destination-port eq 2123
rule deny udp destination-port eq 2152
rule deny udp destination-port eq 3386
rule permit ip

# 3.全局双向应用ACL
packet-filter global inbound acl 4000
packet-filter global outbound acl 4000

# 保存配置
save
三、验证整改结果
plaintext
# 确认GTP ALG已关闭
display alg
# 查看全局包过滤策略
display packet-filter global
# 测试：内网终端发送UDP 2123报文，无法互通即拦截成功
四、补充说明
适用场景：电力内网、办公内网、园区网（无移动通信基站 / PGW/SGW 设备），执行以上配置无业务影响；
若现场存在专网对接移动基站设备，则只关闭 undo alg gtp，不要拦截 UDP 端口，避免移动业务中断；
漏洞根源就是交换机 ALG 对 GTP 报文进行深度解析存在安全风险，国网标准处置方式就是禁用 GTP ALG。
五、回滚方案（万一出现异常）
plaintext
system-view
alg gtp
undo packet-filter global inbound
undo packet-filter global outbound
save

关于新华三交换机S5560X-54C-EI的GTP协议问题，结论如下：

该交换机本身并不支持GTP（GPRS Tunneling Protocol）协议。

GTP是3G/4G/5G移动核心网中使用的专业隧道协议，在S5560X-54C-EI这种企业级园区交换机上没有任何应用场景。它被扫描出与GTP相关的开放端口，完全是两码事。

漏洞背景：端口为什么会“开放”？

你提到的漏洞编号 WAYJ202503007L2 和端口 UDP 2123、2152、3386，虽然未能查到该编号的精确信息，但根据H3C社区的经验，这通常与安全扫描工具或合规性检查有关。

在标准配置下，这些端口默认是关闭的。扫描工具之所以报告“开放”，很可能是误报，或者是系统上其他服务（如某些动态端口）恰好使用了这些端口号。

解决方案：如何“关闭”端口

处理的核心思路是：如果端口并未真正开放，则无需操作；如果确有风险，则通过ACL（访问控制列表）进行流量过滤。

步骤一：检查端口真实状态

首先登录交换机，通过以下命令确认端口是否真的处于监听状态：

如果命令没有输出任何结果，说明端口并未开放，可以忽略此漏洞报告。

步骤二：通过ACL过滤端口流量（如确需操作）

如果确认有异常流量，或为通过合规检查，可以配置ACL来过滤这些端口的流量。

1. 创建高级ACL，并添加拒绝规则：

   bash

   <H3C> system-view [H3C] acl number 3000 [H3C-acl-adv-3000] rule 0 deny udp destination-port eq 2123 [H3C-acl-adv-3000] rule 1 deny udp destination-port eq 2152 [H3C-acl-adv-3000] rule 2 deny udp destination-port eq 3386 [H3C-acl-adv-3000] quit

2. 在接收流量的VLAN接口上应用此ACL：

   bash

   [H3C] interface vlan-interface 1 # 请将1替换为实际的VLAN接口编号 [H3C-Vlan-interface1] packet-filter 3000 inbound [H3C-Vlan-interface1] quit [H3C] save force