前言：網路設備是安全防線的關鍵節點

傳統安全技術側重主機入侵偵測、防毒、防火牆，但交換機與路由器在七層模型每一層都是關鍵防線。現代網路設備內建豐富安全功能，出廠即為「缺省安全」狀態：所有非必要選項關閉、強制修改密碼、密碼加密儲存、無預設後門帳號、掉電/重啟/升級過程安全、NTP 校時、SNMP 社群名稱修改等。

一、抵禦 DoS 攻擊：保持可用性與主動阻斷

• 設備需在 DoS 攻擊下維持可用性，理想狀態能主動回應：封鎖攻擊 IP/埠、即時記錄日誌、識別蠕蟲攻擊並自動反應。
• FTP/HTTP/Telnet/SSH 服務可能存在程式碼漏洞，廠商需建立快速補丁發布流程。
• 採用基於角色的存取控制 (RBAC)：最小權限原則，任務分派、檢查平衡，僅受信任連線可管理。
• 管理權限可授予特定 IP 與 TCP/UDP 埠，配合 AAA (Authentication, Authorization, Accounting) 伺服器 (RADIUS, TACACS+, LDAP) 實現集中認證授權。
• 登入嘗試次數限制、詳細日誌記錄 (密碼嘗試、埠掃描) 是基礎防禦。

二、遠端管理連線加密：杜絕明文傳輸

• CLI 管理：全面採用 SSHv2 取代 Telnet，禁用 SSHv1。
• Web 管理：強制 HTTPS (TLS 1.2+)，禁用 HTTP。
• SNMP 管理：強制使用 SNMPv3 (認證+加密)，禁用 v1/v2c。
• LDAP/Radius 通訊：啟用 SSL/TLS 加密傳輸。

三、配置檔案安全與備份恢復

• 配置檔儲存於安全位置，支援加密備份。
• 混亂時可快速匯入備份恢復至已知良好狀態。
• 部分交換機整合 IDS 功能，支援埠鏡像 (SPAN/RSPAN) 供流量分析。

四、VLAN 與存取控制：邏輯隔離縮小攻擊面

• VLAN 劃分依據：埠、MAC、IP、協定、DHCP、802.1Q、使用者自訂，可單獨或組合部署。
• VLAN 認證 (802.1X / MAC Auth / Web Auth)：使用者通過認證後動態授權進入指定 VLAN，權限綁定身份而非設備。
• 防火牆/ACL 精細控制：基於來源/目的 IP、VLAN、埠、協定、ICMP 類型、MAC 等多維度過濾。
• 動態 ACL (dACL)：使用者認證通過後動態下發三層存取控制列表，適用未知來源存取已知內部資源場景。

結語

現代網路要求各層面皆安全。透過交換機/路由器內建安全功能的深度配置——DoS 防禦、加密管理、RBAC/AAA、配置加密備份、VLAN 邏輯隔離、動態 ACL——企業可在傳統安全技術之上，構建「全層防禦、纵深設防」的強韌網路安全架構。