2. Catalyst设备初始安全基线
交换机上架通电、完成基本IP可达之后，真正决定这台设备"能不能放心接入生产网"的，不是它转发性能有多强，而是它的初始安全基线是否立得住。所谓安全基线，可以理解为设备在投入业务前必须达到的一组最低安全状态：谁能登录、从哪里登录、登录后能做什么、控制协议是否可信、转发路径是否被约束、口令是否可被破解。本节围绕管理面、控制面、数据面、密码策略与AAA五条主线，给出一套可直接落地的初始加固思路与配置示例。
一、管理面加固：先收紧"谁能进来"
管理面是攻击者最直接的入口。加固的核心是"减少暴露面 + 强制加密 + 限制来源"。第一步是关闭不必要的明文管理通道：no ip http server 关闭HTTP，仅保留 ip http secure-server 提供HTTPS；Telnet应被SSH完全替代，通过 transport input ssh 限制VTY线路只接受SSH。第二步是限制管理来源，用ACL绑定管理网段，例如只允许运维跳板机所在的管理VLAN访问VTY：
ip access-list standard MGMT-ACCESS
permit 10.10.99.0 0.0.0.255
deny any log
!
line vty 0 15
transport input ssh
access-class MGMT-ACCESS in
login local
exec-timeout 10 0其中 exec-timeout 10 0 表示空闲10分钟自动断开，避免无人值守的会话长期挂起。此外，管理接口应放在独立的带外管理VLAN，禁止与用户数据VLAN混用；SNMP若必须启用，应使用SNMPv3并配置认证与加密，而非v2c的明文团体字。
二、控制面保护：让协议"只跟可信邻居说话"
控制面承载STP、路由协议、CDP、ARP等关键协议，一旦被伪造报文冲击，可能导致拓扑震荡甚至转发中断。初始基线中应至少完成三件事：其一，面向终端的接入端口启用BPDU Guard与PortFast，防止用户口接入交换机后参与STP选举；其二，启用Root Guard或Loop Guard保护根桥位置；其三，对CDP、LLDP等发现协议在边缘端口上关闭，减少信息泄露。示例：
interface range GigabitEthernet1/0/1 - 24
spanning-tree portfast
spanning-tree bpduguard enable
no cdp enable
!
spanning-tree guard root ! 在上行互联口方向保护根桥若设备运行OSPF等动态路由，还应启用路由协议认证（如 ip ospf message-digest-key），防止伪造邻居关系注入错误路由。控制面保护的目标不是"阻断一切"，而是让协议交互只发生在可信链路与可信邻居之间。
三、数据面策略：端口级最小权限
数据面策略关注的是"帧进来之后能去哪"。初始基线中最实用的是端口安全（Port Security）与未使用端口禁用。对用户接入端口限制MAC数量，可有效抑制MAC泛洪与私接小交换机：
interface GigabitEthernet1/0/5
switchport mode access
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address sticky未使用的端口应统一 shutdown 并划入隔离VLAN，避免被随意插线利用。对于服务器或上行口，可结合DHCP Snooping与动态ARP检测（DAI）防止伪造网关与ARP欺骗。数据面策略的本质是"默认拒绝、按需放行"，与防火墙的最小权限原则一致。
四、密码策略与AAA基础配置
本地口令必须满足复杂度与加密存储要求。启用 service password-encryption 可避免明文口令出现在配置文件中，但它只是弱加密，真正可靠的是使用secret而非password：enable secret 采用强哈希。建议同时配置登录失败锁定与最小长度：
enable secret Cisco@2024#Lab
service password-encryption
login block-for 120 attempts 3 within 60
security passwords min-length 10
username netadmin privilege 15 secret Admin@Lab2024AAA是管理面从"本地认证"走向"集中认证"的关键。基础配置采用"认证用TACACS+、授权用TACACS+、计费用TACACS+"的经典组合，并保留本地账号作为服务器不可达时的回退：
aaa new-model
aaa authentication login default group tacacs+ local
aaa authorization exec default group tacacs+ local
aaa accounting exec default start-stop group tacacs+
tacacs server TAC1
address ipv4 10.10.99.20
key CiscoTacacsKey这样，正常时由TACACS+服务器统一认证并记录命令级审计，服务器故障时仍可用本地 netadmin 账号登录，避免被锁在设备之外。
五、验证与常见误区
配置完成后必须验证，而不是"配了就算"。可用 show running-config | include aaa|tacacs|access-class 确认关键条目存在；用 show port-security interface 查看端口安全状态；用 show authentication sessions 或 test aaa group tacacs+ netadmin 验证AAA可达性。常见误区有三：一是只配了 aaa new-model 却没配回退，TACACS+宕机后无法登录；二是VTY只加了 transport input ssh 却忘了 access-class，管理面仍对全网开放；三是端口安全用了 violation shutdown 却未规划恢复流程，导致误触发后端口长期down。基线不是一次性动作，而应纳入配置备份与定期审计，确保设备在生命周期内始终维持这一最低安全状态。