強密碼標準

• 長度 ≥ 12 位（建議 16+）。
• 包含大寫、小寫、數字、特殊符號（!@#$%^&*）。
• 不使用字典詞、個人信息、鍵盤連鍵。
• 每台設備/系統使用唯一密碼，防單點洩露導致全網淪陷。
• 使用密碼管理器（Bitwarden、1Password、KeePass）生成存儲。

思科 IOS 密碼加密三層次

配置範例（思科路由器/交換機）

! 全域啟用弱加密（兼容舊協議，可選）
service password-encryption

! 特權密碼：強制用 enable secret（MD5）
enable secret C0mpl3xP@ssw0rd!

! 建立管理用戶：使用 Type 8 (PBKDF2-SHA256)
username admin privilege 15 secret 8 $8$dsYG7$...hashed...

! 僅允許 SSHv2 管理
ip ssh version 2
line vty 0 4
 transport input ssh
 login local

! 禁用明文協議
no ip http server
no ip http secure-server   ! 若需 Web 管理請開啟 secure-server 並配置憑證

非思科設備通用建議

• Web 管理強制 HTTPS（自簽憑證或 Let's Encrypt），禁用 HTTP。
• SSH 禁用密碼登錄，強制金鑰對認證（PasswordAuthentication no）。
• 管理介面綁定內網專用 IP/VPN 介面，禁止 WAN 口直接訪問。
• 啟用登錄失敗鎖定（如 5 次錯誤封鎖 15 分鐘）。
• 定期審計管理員帳號、SSH 金鑰、配置備份異動。

結語

路由器是網絡邊界核心，密碼防護是第一道防線。改默認、用強密、走加密、禁明文、啟用雙因子、審計日誌，八字方針落地執行，將暴力破解與憑證盜用風險壓至極低。