📚 课程目录第3章设备加固基础

3. 设备加固基础

在数据中心交换机上，真正决定设备“能不能被安全地管起来”的，不是转发面性能，而是管理平面。管理平面承载着登录、认证、配置下发、日志上报、时间同步等关键通道，一旦失守，攻击者往往可以直接改写 ACL、关闭端口安全、导出配置，甚至把交换机变成流量镜像的跳板。因此，管理平面安全基线是设备加固的第一道门槛。本节围绕四条主线展开：强密码策略、AAA 认证、用 SSH/TLS 替代 Telnet/HTTP、管理 VLAN 与带外管理。

一、强密码策略：从“能登录”到“难破解”

弱口令是管理平面最常见的突破口。强密码策略的目标不是让密码复杂到无法记忆，而是通过长度、字符集、有效期和复用限制，把暴力破解与撞库的成本抬高到不可接受。在 Arista EOS 上，密码策略通常通过 management security 相关配置实现，包括最小长度、复杂度要求、历史记录和老化时间。

management security
   password minimum length 12
   password complexity
   password history 5
   password aging 90
   password aging warning 14
   password lockout 5
   password lockout duration 300

上述示例表示：密码至少 12 位，必须包含大小写字母、数字和特殊字符；保留最近 5 次历史密码，禁止复用；90 天强制更换，到期前 14 天提示；连续 5 次登录失败后锁定 300 秒。这里的参数属于教学示例，实际部署时应结合企业密码策略调整。需要特别注意的是，password lockout 能有效对抗在线爆破，但也可能被恶意触发导致管理员被锁在门外，因此必须配合带外管理或本地应急账号使用。

二、AAA 认证：把“本地账号”升级为集中管控

如果每台交换机都只靠本地用户名和密码，运维规模一大就会出现账号分散、离职人员权限残留、审计困难等问题。AAA（Authentication、Authorization、Accounting）把认证、授权、计费三件事集中到 TACACS+ 或 RADIUS 服务器上，交换机只负责转发认证请求。TACACS+ 在命令级授权和审计方面更细，是数据中心网络设备常用的选择。

aaa authentication login default group tacacs+ local
aaa authorization exec default group tacacs+ local
aaa authorization commands all default group tacacs+ local
aaa accounting exec default start-stop group tacacs+
aaa accounting commands all default start-stop group tacacs+
tacacs-server host 10.10.20.30
tacacs-server key 7 <encrypted-key>

这段配置的含义是：登录认证、EXEC 授权、命令授权都优先走 TACACS+，服务器不可达时回退到本地账号；EXEC 会话和所有命令都记录开始与结束，便于审计。回退到 local 是可用性设计，但本地账号必须保留强密码并限制权限。若安全要求更高，可把回退改为 none，代价是认证服务器故障时无法登录，需要权衡。

建议为 TACACS+ 配置至少两台服务器，并在交换机上使用 tacacs-server host 多次声明，避免单点故障导致全网设备无法登录。

三、SSH/TLS 替代 Telnet/HTTP

Telnet 和 HTTP 以明文传输用户名、密码和配置内容，在管理网络中极易被嗅探。基线要求是：关闭 Telnet 和 HTTP，只保留 SSH 和 HTTPS，并强制使用较新的加密算法。EOS 上可通过 management ssh 和 management api http-commands 控制。

management ssh
   idle-timeout 10
   authentication mode keyboard-interactive
   hostkey server rsa modulus 2048
no management telnet
management api http-commands
   protocol https
   no protocol http

其中 idle-timeout 10 表示空闲 10 分钟自动断开，降低无人值守终端被利用的风险；RSA 2048 位主机密钥满足当前基线要求。若使用 eAPI，必须只启用 HTTPS，并限制访问源地址。对于 SSH，还应禁用 SSHv1，仅允许 SSHv2，并考虑关闭密码认证、改用公钥认证以进一步提升安全性。

四、管理 VLAN 与带外管理

管理流量必须与业务流量隔离。常见做法是划分独立的管理 VLAN，例如 VLAN 999，把交换机的管理接口放入该 VLAN，并通过 ACL 限制只有运维网段可以访问。更严格的做法是使用带外管理：管理口连接独立的物理网络，与业务转发面完全分离，即使业务网络拥塞或被攻击，管理通道仍然可用。

vlan 999
   name MGMT
interface Management1
   vlan 999
   ip address 10.10.99.10/24
ip access-list MGMT-ACCESS
   10 permit tcp 10.10.50.0/24 any eq 22
   20 permit tcp 10.10.50.0/24 any eq 443
   30 deny ip any any log
interface Management1
   ip access-group MGMT-ACCESS in

该示例中，管理接口位于 VLAN 999，仅允许 10.10.50.0/24 运维网段访问 SSH 和 HTTPS，其余流量拒绝并记录日志。带外管理口通常不参与业务转发，也不应配置默认路由指向业务网络，避免管理面被业务流量牵引。

五、基线落地与验证

配置完成后，必须验证基线是否真正生效。常用检查命令包括：show management security 查看密码策略，show aaa 确认认证授权顺序，show management ssh 确认 SSH 状态，show management api http-commands 确认仅 HTTPS 启用，show ip interface Management1 确认管理接口地址与 ACL 绑定。此外，应尝试从非授权网段 SSH 登录，确认被 ACL 拒绝并产生日志；尝试用错误密码连续登录，确认锁定策略触发。

修改管理平面配置时，务必保留一个已登录的会话不要退出，并提前确认带外管理可用。若 ACL 或 AAA 配置错误，可能导致设备无法远程登录，只能通过 Console 口恢复。

管理平面安全基线不是一次性任务，而是持续运营的起点。建议把上述配置纳入设备模板，通过自动化工具批量下发，并定期审计密码老化、AAA 日志和 ACL 命中情况，确保基线在设备生命周期内始终有效。