兩條鐵律

1. 首次通電立即修改預設密碼：廠商預設帳密 (admin/admin、admin/1234、ubnt/ubnt 等) 全網公開，掃描器 (Shodan/Zoomeye/Censys) 分鐘級發現並嘗試登入。
2. 管理介面僅允許加密協定：SSH v2 / HTTPS (TLS 1.2+)，**禁用 Telnet / HTTP / TFTP / SNMP v1/v2c** (明文傳輸帳密/社區字串)。

密碼強度標準

• 長度 ≥ 15 字元 (管理介面)、≥ 25 字元 (根憑證/CA/金鑰)。
• 高熵值隨機 (密碼管理器生成)，不含字典詞/個資/鍵盤走勢。
• **每台設備唯一密碼**，嚴禁跨系統重複使用 (憑證填充攻擊首選)。
• 定期輪換 (90-180 天) 或採用 **憑證認證 (PKI) / SSH 金鑰對** 完全淘汰密碼認證。

思科 IOS 三級密碼加密機制

命令	加密演算法	可逆性	適用場景
service password-encryption	Vigenère (Type 7)	可逆 (秒級破解)	舊版相容、非敏感密碼 (NTP/路由協定金鑰)
enable password	Vigenère (Type 7) 或 MD5 (Type 5, enable secret)	Type 7 可逆 / Type 5 不可逆	Type 5 強制要求 IOS 12.0+
enable secret	MD5 (Type 5) / PBKDF2-SHA256 (Type 8) / SCRYPT (Type 9)	不可逆	**最佳實務**：啟用 Type 9 (SCRYPT) 或 Type 8 (PBKDF2)，enable algorithm-type scrypt secret
username secret	同 enable secret	不可逆	本地帳號密碼加密

非思科設備通用建議

• 僅開放 SSH/HTTPS 管理埠，綁定管理用 VLAN/Loopback 介面，配合 ACL 限制來源 IP (堡壘機/跳板機)。
• 啟用 **AAA (Authentication, Authorization, Accounting)** 對接 RADIUS/TACACS+ (Cisco ISE/Aruba ClearPass/FreeRADIUS)，集中帳號管理、命令授權、完整審計。
• 配置 **Control Plane Policing (CoPP)** 保護管理平面免受 DoS。