網絡基礎設施安全是纵深防御基石。交換機/路由器需具備七層全棧安全能力：

1. 安全默認原則

• 出廠即安全狀態：所有非必要服務關閉，特權功能需顯式啟用。
• 首次登錄強制修改密碼；密碼策略：複雜度、過期、鎖定閾值；加密存儲；無後門/維護帳號/默認密鑰。
• 掉電/熱啟動/冷啟動/IOS 升級/模塊失效全生命周期安全無縫銜接。
• NTP 時間同步保證日志審計時序準確。
• 修改默認 SNMP Community 字符串。

2. DoS 抗性設計

• 攻擊期間保持管理平面/控制平面/數據平面可用。
• 自動識別攻擊源 IP/端口 → 動態 ACL/速率限制/黑洞路由封禁。
• 事件即時日志 + 告警；蠕蟲掃描特徵識別與自動阻斷。

3. 代碼漏洞全生命周期管理

• FTP/HTTP/Telnet/SSH 服務代碼漏洞 → 廠商響應：開發→測試→發布升級包/補丁。
• 建立訂閱廠商安全公告機制，縮短修補窗口期。

4. 基於角色的存取控制 (RBAC)

• 最小權限原則：運維人員僅獲完成任務所需最小權限集。
• 任務分離：配置/審計/審批分離，防單點惡意/誤操作。
• 受信來源限制：管理平面僅接受受信 IP/子網 + 指定 TCP/UDP 端口連接。

5. 遠程管理加密通道

• CLI：SSHv2 強制（禁用 Telnet/SSHv1），密鑰認證優先。
• Web GUI：HTTPS (TLS 1.2/1.3)，憑證驗證。
• 文件傳輸：SFTP/SCP（基於 SSH），禁用 FTP/TFTP。
• 網管協議：SNMPv3 (AuthPriv) + TLS 加密 LDAP/Radius 通訊。

6. 登錄審計與暴力破解防護

• 限制登錄嘗試次數/時間窗口（如 5 次/15 分鐘鎖定 30 分鐘）。
• 詳細日志記錄：成功/失敗登錄、執行命令、配置變更、來源 IP/用戶/時間。
• 日志異常模式告警：密碼噴灑、字典爆破、端口掃描特徵。

網絡設備不是「插上電纜就能跑」的黑盒，**配置即代碼、審計即常態、加固即責任**。