1. Catalyst安全加固与可靠性验证全景
在企业园区网络中，Cisco Catalyst 交换机往往承担接入层与汇聚层的核心转发职责。一旦接入端口被非法设备接入、管理面被弱口令攻破，或链路/电源发生单点故障，影响的不只是某一台交换机，而是整个业务网段的连通性与可用性。因此本课程把“安全加固”和“可靠性验证”放在同一条主线上：先让设备处于受控、可审计的安全状态，再用可复现的方法验证它在异常与故障条件下仍能维持转发与收敛。
课程目标与能力定位
完成本课程后，学习者应能独立完成四类任务：第一，依据 Catalyst 的安全架构，规划端口、管理面、控制面三个层面的加固策略；第二，使用 IOS/IOS-XE 命令完成端口安全、DHCP Snooping、动态 ARP 检测、802.1X、SSH 与 AAA 等配置；第三，设计并执行可靠性验证用例，覆盖链路冗余、网关冗余、电源与堆叠故障；第四，通过日志、计数器与协议状态判断加固是否生效、故障是否按预期收敛。课程强调“配置—验证—判读”闭环，而不是只记住命令。
Catalyst 交换机安全架构的三个平面
理解 Catalyst 安全加固，关键是区分三个平面，它们面对的威胁和加固手段完全不同。
- 管理面（Management Plane）：面向管理员访问，包括 Console、SSH、SNMP、TACACS+/RADIUS。威胁是弱口令、明文 Telnet、SNMP 默认团体字。加固重点是关闭 Telnet、启用 SSHv2、配置 AAA 认证授权、限制管理源地址（ACL 或 VTY ACL）、启用登录失败锁定与 exec-timeout。
- 控制面（Control Plane）：承载 STP、ARP、DHCP、路由协议等协议报文。威胁是伪造 BPDU、伪造 DHCP 服务器、ARP 欺骗、路由协议欺骗。加固重点是 BPDU Guard、Root Guard、DHCP Snooping、Dynamic ARP Inspection、IP Source Guard，以及 CoPP 限制上送 CPU 的协议报文速率。
- 数据面（Data Plane）：负责用户流量的实际转发。威胁是 MAC 泛洪、端口接入未授权设备、VLAN 跳跃。加固重点是 Port Security、未使用端口 shutdown 并划入隔离 VLAN、Native VLAN 与数据 VLAN 分离、禁用 DTP 协商。
三个平面并非孤立：例如 DHCP Snooping 在控制面建立绑定表，Dynamic ARP Inspection 和 IP Source Guard 在数据面复用该绑定表进行过滤。这种“控制面建表、数据面查表”的联动关系，是 Catalyst 安全架构中最值得记住的设计思想。
可靠性验证维度
安全加固解决“不被攻破”，可靠性验证解决“坏了能恢复”。两者共同构成生产可用性。可靠性验证通常从四个维度展开：链路冗余、网关冗余、设备冗余、电源与硬件冗余。每个维度都要有明确的故障注入方式和判读指标。
| 维度 | 典型技术 | 故障注入方式 | 判读指标 |
|---|---|---|---|
| 链路冗余 | EtherChannel、RSTP | shutdown 成员链路 | 收敛时间、丢包数、成员状态 |
| 网关冗余 | HSRP / VRRP | 断开 Active 网关上行 | 切换时间、虚拟 IP 可达性 |
| 设备冗余 | StackWise / StackWise Virtual | 重启主交换机 | 主备切换、堆叠成员状态 |
| 电源硬件 | 双电源、冗余风扇 | 拔除单路电源 | 告警日志、供电状态 |
判读时要注意区分“协议状态正常”和“业务真正恢复”。例如 HSRP 显示 Standby 变 Active 只说明控制面切换完成，还需用持续 ping 或流量测试确认数据面转发已恢复，并记录丢包数量作为收敛质量的量化依据。
实验环境搭建与工具准备
本课程实验建议使用 Cisco Modeling Labs（CML）或 EVE-NG 搭建虚拟拓扑，镜像选择 Catalyst 8000v 或 IOSvL2，以便支持 DHCP Snooping、DAI、HSRP、StackWise 等特性。若使用真实设备，建议至少两台 Catalyst 交换机加一台路由器作为网关，并准备一台 Linux 主机模拟终端与攻击源。
拓扑建议：两台 Catalyst 交换机通过两条链路组成 EtherChannel，配置 HSRP 作为网关冗余；接入侧连接一台测试主机，用于验证端口安全与 802.1X；另设一台“攻击主机”用于发送伪造 DHCP Offer、伪造 ARP 应答和 BPDU，验证防护是否生效。
工具准备清单如下：
- 终端仿真：SecureCRT 或 PuTTY，用于 Console 与 SSH 登录。
- 抓包分析：Wireshark，抓取 DHCP、ARP、STP 报文，确认防护前后报文差异。
- 流量与故障注入：Linux 下的
arping、yersinia、dhcpig，或ping -t持续探测。 - 日志与时间：配置 NTP 与 syslog 服务器，保证故障时间线可对齐。
基础配置示例（以 IOS-XE 为例，参数为教学示例）：
hostname CAT-SW1
enable secret Cisco@123
ip domain-name lab.local
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
transport input ssh
login local
exec-timeout 5 0
!
ntp server 192.168.10.10
logging host 192.168.10.20
logging trap informational
service timestamps log datetime msec localtime
完成上述配置后，可用 show ip ssh 确认 SSHv2 已启用，用 show clock 确认 NTP 同步，用 show logging 确认日志已上送。这些是后续所有安全与可靠性验证的基线，基线不稳，后面的判读就失去意义。
copy running-config startup-config 并导出文本），每次故障注入后先恢复基线再进入下一用例，避免多个变量叠加导致无法定位问题。