網絡安全不止於防火牆與防毒，交換機與路由器作為七層模型每一層的關鍵節點，必須具備原生安全能力。廠商出廠預設安全配置、強制修改預設密碼、密碼有效期與登入嘗試限制、加密儲存憑證、無後門帳號、斷電/重啟/升級過程的安全性保持、NTP 時間同步、SNMPv3 加密管理、SSH/TLS 加密遠程管理、基於角色的最小權限授權（AAA/TACACS+/RADIUS/LDAP）、DoS 攻擊偵測與自動封鎖、蠕蟲攻擊識別回應、完整審計日誌記錄登入嘗試與端口掃描等，構成網絡設備纵深防禦基石。

關鍵配置清單

• 啟用 SSH 停用 Telnet，Web 管理強制 HTTPS。
• SNMP 僅啟用 v3 版本並限制管理 IP。
• 配置登入失敗鎖定與警報機制。
• 部署 CPPr（Control Plane Policing）緩解 DoS。
• 定期修補 IOS/固件漏洞（FTP/HTTP/SSH 服務漏洞）。
• 實施管理平面保護（MPP）限制管理流量入口。

網絡設備安全是系統工程，需從物理、邏輯、管理三個維度同步推進，方能構建彈性防禦體系。