2. Nexus管理平面加固
管理平面是Nexus交换机最容易被忽视、却最容易被攻击的入口。数据平面转发流量再安全，只要管理平面暴露在业务网段、使用弱口令或默认账户，攻击者就可能直接获得设备控制权。本节围绕“把管理流量关进独立通道、把访问入口收紧、把身份与权限降到最小”三条主线，给出可落地的配置与验证方法。
一、带外管理与管理VRF：先把管理流量隔离出来
带外管理（Out-of-Band）指管理流量走独立于业务转发的物理或逻辑通道。Nexus上最常见的做法是使用专用的mgmt0接口，并把它放入独立的管理VRF（通常命名为management）。管理VRF的本质是一张独立的路由表，业务VRF中的路由、ACL、默认网关都不会影响它，反之亦然。这样即使业务网段被攻陷，攻击者也无法直接通过业务接口访问管理地址。
配置上，先确认管理VRF存在，再把mgmt0放入其中并配置地址与默认路由：
vrf context management
ip route 0.0.0.0/0 192.168.10.1
interface mgmt0
vrf member management
ip address 192.168.10.20/24
no shutdown
ip domain-lookup
ip name-server 192.168.10.53 vrf management这里192.168.10.0/24是示例管理网段，192.168.10.1是管理网关，192.168.10.20是交换机管理地址。配置完成后用 show ip route vrf management 确认默认路由存在，用 show interface mgmt0 确认接口up且地址正确。若管理网段与业务网段共用物理链路，应通过独立VLAN或独立接口划分，而不是简单复用业务口。
二、SSH、TLS与HTTPS：关闭明文入口
Telnet、HTTP、SNMPv1/v2c都以明文传输凭据，必须关闭。Nexus上应只保留SSHv2、HTTPS，并按需启用TLS版本控制。关键配置如下：
no feature telnet
feature ssh
ssh server enable
ssh version 2
ssh key rsa 2048
no feature http-server
feature nxapi
nxapi http port 80 disable
nxapi https port 443
feature https
crypto key generate rsa modulus 2048SSHv2相比SSHv1修复了协议层缺陷，RSA 2048位是当前最低可接受强度。HTTPS用于NX-API和Web管理，应禁用80端口，只保留443。若使用NX-API，建议同时限制来源：
ip access-list MGMT_ACCESS
10 permit tcp 192.168.10.0/24 any eq 22
20 permit tcp 192.168.10.0/24 any eq 443
30 deny ip any any log
interface mgmt0
ip access-group MGMT_ACCESS in验证时用 show ssh server 确认版本为2，用 show run | inc telnet 确认无Telnet启用，用 show nxapi 确认HTTP已禁用。ACL的deny语句带log便于在 show logging logfile 中观察被拒绝的连接尝试。
三、AAA与RBAC：身份认证与最小权限
AAA解决“你是谁”，RBAC解决“你能做什么”。生产环境应使用TACACS+或RADIUS集中认证，本地账户仅作为fallback。TACACS+支持按命令授权，比RADIUS更适合网络设备。示例配置：
feature tacacs+
tacacs-server host 192.168.10.30 key Cisco123
tacacs-server directed-request
aaa group server tacacs+ TAC_GRP
server 192.168.10.30
aaa authentication login default group TAC_GRP local
aaa authorization console
aaa authorization exec default group TAC_GRP local
aaa authorization commands default group TAC_GRP local
aaa accounting default group TAC_GRP
username netadmin password 0 Str0ngP@ss role network-admin
username netops password 0 0psP@ss role network-operatorRBAC的核心是角色绑定。Nexus内置network-admin（全权）、network-operator（只读）等角色，也可自定义角色并限定命令范围。最小权限原则要求：日常运维账户只给network-operator或自定义只读角色，只有变更窗口才临时使用network-admin。自定义角色示例：
role name monitor
rule 1 permit read
rule 2 permit show
username auditor password 0 Audit@123 role monitor验证AAA是否生效，可用 show aaa authentication、show tacacs-server 查看服务器状态，用 show user-account 确认账户角色。测试时用一个只读账户登录，尝试执行 configure terminal，应被拒绝并记录到TACACS+日志。
四、验证闭环与常见排障
加固完成后应形成可重复的验证闭环。建议按以下顺序检查：管理VRF路由是否可达、SSH/HTTPS是否只监听管理地址、AAA服务器是否可达、RBAC角色是否按预期限制命令。常见问题包括：管理VRF缺少默认路由导致TACACS+不可达、ACL误拦管理网段、TACACS+密钥不一致导致认证失败。排障时先用 show ip route vrf management 和 ping 192.168.10.30 vrf management 确认连通性，再用 test aaa 验证认证路径。