最近一家网络设备厂商公布了新的工业级产品线，一台无风扇的工业网关在技术社区里讨论热度很高。网口速率、防护等级之外，有一个问题值得在选型清单里往前排：这台设备里到底有几个账户？

买工业路由器作批量部署的厂商，大多经历过类似的验收流程：样机到货，测网速、测断网恢复、测宽温，账户这一项往往排到最后，或者干脆没排进去。等设备铺到几十个站点，才发现默认密码一个都没改过。

先分清三类账户

账户问题的本质，是三类账户没有被逐一确认过：

1.隐藏账户：厂商为产线调试或售后远程支持预留的账户，不在说明书默认账户表里。设备一旦挂上公网，这类账户就是不受控的入口。

1.默认账户：root/root、admin/admin这类出厂口令，扫描工具的字典里全都有。

1.过高权限账户：运维、现场调试、第三方集成人员共用一个管理员账号，权限没有分级，出了改动查不到人。

样机阶段做四件事

拿到样机，比查参数更值得花时间的是这四步：

第一，登录Web管理页，把用户列表完整看一遍。有几级账户、每级能改什么，直接决定后期的管理边界。

第二，翻说明书的默认设置表，逐个改掉默认口令。以PUSR的USR-G816为例，出厂登录为root/root，首次配置时在系统管理页即可修改管理密码，支持数字、字母和符号组合。这类信息说明书里写得清楚，改密码本身不到一分钟。

第三，向厂商问三个问题。设备有没有调试级账户？串口或指令通道有没有独立密码？固件升级后账户策略会不会回退？G816的串口指令通道就带有独立指令密码，说明书里有明确说明，这种设计可以在选型时算作加分项。

第四，收敛远程管理入口。改掉默认Web管理端口，用防火墙黑白名单限制能访问管理页的来源IP；远程配置和升级动作走云平台账户完成，而不是把设备管理员密码分发给每个现场人员。

账户分级怎么落地

Administrator、User和System-level三类账户的管理，落到工业路由器上其实是两件事。

设备侧，管理员账户只保留给少数负责网络配置的人，密码定期更换；只需要看运行状态的岗位，不必给设备权限。G816支持SNMP和云平台远程管理，状态监控可以走平台完成，不必人人手里都握着管理员口令。

平台侧，远程运维交给平台账号承担。USR-G806w支持通过远程管理平台做参数配置、设备重启和固件升级，操作在平台账号下留有记录，比每台设备开一个管理员口令、密码记在表格里可靠得多。传输链路上，两款路由器都支持OpenVPN、IPSec、L2TP等隧道协议，管理流量可以加密后走VPN，避免明文暴露在公网。

选型参考

需要5G带宽和双卡冗余的站点，选USR-G816：双SIM备份、四路千兆网口、-35~75℃宽温和宽压供电，防火墙、端口转发、黑白名单齐全，适合作为主入口设备。预算有限或以4G覆盖为主的场景，USR-G806w更划算：高通方案、三个以太网口、软硬件双看门狗，远程管理能力与G816同源。

账户安全没有一步到位的方案，但有一步到位的检查动作：部署之前，把账户清单过一遍。批量部署industrial lte router之前花半天核对默认账户、隐藏入口和权限分级，比部署完再逐站补救省事得多。