网络安全设备配置规范：防火墙、交换机、路由器安全基线加固指南

简介网络安全基线是构建可信网络环境的基础其核心原理遵循最小开放、默认拒绝、管理面与转发面分离等原则。在工程实践中通过安全设备配置规范能够有效降低攻击面避免因策略次序、服务暴露或日志缺失导致的安全事故。此类规范常见于等保测评、设备上线和季度巡检场景网络管理员需对照检查项逐条验证。一份可直接逐项对照的基线清单覆盖防火墙、交换机、路由器的加固要点包括关闭Telnet启用SSH、ACL双向过滤、VLAN隔离、NTP日志同步等为日常运维提供清晰可执行的检查依据。1. 网络安全设备配置规范一份能直接拿去巡检的基线清单做网络安全的人手里多少都有几份“压箱底”的文档但真正打开率高的不多。这份《信息安全管理制度网络安全设备配置规范》属于例外——它把防火墙、交换机、路由器三类核心设备的检查项拆成了具体条目每一条都是问句比如“VLAN 1 中是否允许用户数据”“防火墙规则是否有次序性”“关闭 Telnet 后是否启用了 SSH”直接照着答就能完成一次设备合规自检。文档年代标注是 2011 年但核心逻辑到现在依然是主流安全基线思路最小开放、默认拒绝、管理面与转发面分离、日志可追溯。它不是产品说明书更像一份等保自查前的“开卷题库”适合网络管理员、信息安全工程师在设备上线、季度巡检或等保测评前快速过一遍。即使你用的是华为、思科、H3C 而不是文档里的示例设备条目背后的原则照样成立。2. 先把防火墙捋顺从管理面到数据面的四层检查防火墙是内外网的第一道闸门但很多企业的防火墙恰恰是最“裸奔”的设备——策略放得开、管理口敞着、日志没人看。这份规范对防火墙的检查逻辑按管理面、规则面、NAT、审计四条线铺开其实就是一次完整的防火墙“体检”。2.1 管理面加固关闭 Telnet 只是第一步规范第一条就点名了“防火墙管理人员分级”包括超级管理员、安全管理员、日志管理员职责要分开文档和记录要留痕。接着是“关闭 telnet、http、ping、snmp”改用 SSH 远程管理。这条看着简单实际上一线运维最容易翻车防火墙开着 HTTP 管理界面内网员工随手就能打开配置页或者 SNMP 默认团体字 public 没改扫描器一扫就出拓扑。经验做法是SSH 只从指定的管理网段放行管理接口单独划 VLAN不在业务口上挂管理服务。下面是一段 Cisco ASA 风格的加固片段思路可平移到其他品牌# 禁止从外部接口发起管理会话 no http server no snmp-server enable traps snmp-server community MyStr0ngC0mm string # 只允许管理网段 SSH 登录 ssh 192.168.100.0 255.255.255.0 management ssh timeout 5 ssh version 2 # 关闭 ICMP 响应减少探测面 icmp deny any outside这里做了几件事关掉 HTTP 管理SNMP 团体字换成强口令且只读SSH 指定来源网段并限制超时外部接口直接丢弃 ICMP。命令里的ssh 192.168.100.0就是管理网段白名单ssh timeout 5是空闲超时分钟数。注意最后一条是“丢 ICMP”不是“禁 ping”这么简单——很多设备默认允许回显请求相当于白送攻击者一个存活探针。2.2 规则次序问题反欺骗在前放行在后防火墙规则“第一次匹配即生效”这个特性决定规则次序几乎是防火墙策略的全部。规范里给出的规则次序很有参考价值先做反电子欺骗过滤阻断私有地址、从外口出现的内部地址再放用户允许规则比如允许 HTTP 到公网 Web 服务器接着是管理允许规则然后是“拒绝并报警”最后才是“拒绝并记录”。举个反例有人把“允许内网访问外网”这种大放行规则放在最前面后面跟了一堆“拒绝某 IP 访问某端口”的细规则——结果细规则永远不生效因为大规则先匹配了。这是典型的安全策略失效场景等保测评时抽查几条就能测出来。一个合格的规则序列表大致长这样# 1. 反欺骗阻断源地址是内网段的“外部流量” access-list OUTSIDE_IN deny ip 192.168.0.0 0.0.255.255 any log access-list OUTSIDE_IN deny ip 10.0.0.0 0.255.255.255 any log access-list OUTSIDE_IN deny ip 172.16.0.0 0.15.255.255 any log # 2. 放行业务服务 access-list OUTSIDE_IN permit tcp any host 14.2.6.10 eq 80 access-list OUTSIDE_IN permit tcp any host 14.2.6.10 eq 443 # 3. 管理放行限定来源 access-list OUTSIDE_IN permit tcp 192.168.100.0 0.0.0.255 host 14.2.6.250 eq 22 # 4. 默认拒绝并记录 access-list OUTSIDE_IN deny ip any any log第 1、2、3 条属于白名单逻辑最后一条是兜底“拒绝并记录”。注意第 1 条里deny ip 192.168.0.0 0.0.255.255 any log—— 外部接口进来的流量源地址竟然是内网段这显然是被伪造的必须丢。any前面的源段位就是“不该出现在外侧接口”的地址集合。2.3 NAT 与 DoS/DDoS不能只靠防火墙硬扛规范里关于 NAT 的表述值得圈出来任何和外网有信息交流的机器都必须经过地址转换防止内部拓扑泄露。这个思路在今天依然对——哪怕你已经有了公网 IP也要在防火墙上做映射而不是把内部地址直接暴露出去。同时规范提到“防火墙是否配置成能抵抗 DoS/DDoS 攻击”实际落地时多数防火墙靠的是会话数限制和 SYN Cookie。# 限制并发连接数防连接耗尽以华为 USG 为例的配置思路 firewall defend syn-flood enable firewall defend syn-flood max-rate 1000 firewall defend source-ip-max-conn 200 firewall defend source-ip-rate 100这几行做的是打开 SYN Flood 防护限制单位时间新建连接速率单源 IP 最大并发连接数压到 200单源 IP 新建连接速率压到每秒 100。注意“压到多少”要按业务量调压太狠会把正常用户误伤压太松等于没设。我一般先看峰值会话数留 20% 余量再回填参数。2.4 审计与时间同步日志是事后溯源的唯一依据防火墙日志最怕两件事没开、时间不准。规范明确要求“精确设置并维护防火墙时间”配置时间信息进日志管理员追踪攻击时才能对齐攻击时间线。这个坑我踩过——防火墙和服务器差了 8 小时事件分析时怎么也串不上最后发现 NTP 没配。# 配置 NTP 同步Cisco ASA 风格 ntp server 192.168.100.10 source management clock timezone GMT 8可选配置日志转发到集中日志服务器logging host management 192.168.100.20 logging trap informational logging enablentp server 指定内网时间源clock timezone 显式设置时区避免默认 UTC 导致日志时间偏晚 8 小时。logging host 把日志转发到日志服务器logging trap informational 控制日志级别——别开 debug否则是灾难。日志转发做了之后还要回到规范第 1.4 节那句“日志不能修改”这就是日志服务器端要处理的事防止攻击者登录防火墙后顺手把日志清了。 ## 3. 交换机加固24 条检查项七成网管没做全 交换机的规范条目看着琐碎但每一行都是从真实事故里长出来的。这章把规范里的交换机检查项梳理成“端口面—管理面—服务面—日志面”四块基本覆盖了日常加固的关键动作。 ### 3.1 端口安全与 VLAN 隔离先关不用的口再谈安全 规范里重复出现两条命令思想“shutdown 所有不用的端口”和“所有未用端口设置为第 3 层连接的 vlan”。这两条放在一起就是因为只关端口不划 VLAN 的话某些交换机在特殊配置下仍可能响应请求。更常见的错误是只关闭端口但没关 auto-trunking——攻击者接上禁用端口尝试 DTP 协商有可能把端口重新拉成 trunk 状态。规范第 2.19 条明确要求“使端口的 auto-trunking 失效”这是很多人漏掉的一步。 bash # 禁用端口并关闭 DTP 协商Cisco 风格 interface GigabitEthernet0/1 shutdown switchport mode access switchport nonegotiate # 端口安全限 MAC 数 interface GigabitEthernet0/2 switchport port-security switchport port-security maximum 2 switchport port-security violation shutdown switchport port-security mac-address stickyswitchport nonegotiate是关 DTP 的关键命令switchport port-security maximum 2限制该端口最多学习 2 个 MACviolation shutdown表示超限直接关闭端口并触发告警mac-address sticky是让交换机记住第一次学到的 MAC。注意这里是接入层端口的做法服务器端口不适合限制 MAC 数量否则虚拟机的 MAC 漂移会让自己把自己 shutdown。VLAN 隔离这块规范强调“VLAN 1 中不允许引入用户数据只能用于交换机内部通讯”。这个条目很硬核——VLAN 1 是交换机原生 VLAN默认所有端口都在里面如果不加隔离用户数据在 VLAN 1 里跑就等于给攻击者默认网段。落地时把用户 VLAN 改到 10/20/30管理 VLAN 单独用Trunk 端口的 native VLAN 也换掉。3.2 管理面与协议服务SSH、AAA、关闭无用服务规范里写“使用 SSH 代替 Telnet并设置强壮口令”同时“关闭交换机上不必要的服务”包括 TCP/UDP 小服务、CDP、finger 等。注意它没有说“关掉所有服务”而是“确实必需的才开”——这是一条安全基线不是“一刀切”的教条。# 关闭 CDP 和 LLDP 等邻居发现协议 no cdp run no lldp run # 关闭 HTTP 服务 no ip http server # 配置 SSH 和 AAA 认证 ip ssh version 2 username admin privilege 15 secret MyStr0ngPss line vty 0 4 transport input ssh login local exec-timeout 5 0CDP/LLDP 看似人畜无害实际上泄露了设备型号、IP、IOS 版本和 VLAN 信息——攻击者拿到这些就能精准准备漏洞。transport input ssh直接把 vty 的 Telnet 入口堵死exec-timeout 5 0是会话 5 分钟超时断开。还有一条规范点名了“使 HTTP server 失效”华为/H3C 上是undo http server enable思科是no ip http server别搞混。3.3 日志与 NTP交换机的“黑匣子”要打开交换机的日志经常被忽略——因为它不直接阻断攻击但出了事查不到记录才是最被动的。规范第 2.27 条到 2.29 条都在说日志打开 logging发到专用日志主机配置 NTP 时间戳按策略检查日志并存档。# 配置日志服务器与 NTP logging host 192.168.100.20 logging trap informational logging source-interface Vlan 100 ntp server 192.168.100.10 preferlogging source-interface指定日志源接口为管理 VLAN——如果不指定交换机会用出接口 IP 发日志排查时对不上号。ntp server ... prefer中的prefer表示优先用这个时间源避免多个 NTP 源时间跳动。规范里还有一条容易被忽略的“为本地的和远程的访问交换机使用 AAA 特性。”AAA 是认证、授权、计费三合一落地时最常用的是 RADIUS/TACACS 对接。小环境可以用login local顶住但人一多、密码一分散没有 AAA 迟早出“离职员工还能登录交换机”的事故。4. 路由器安全基线访问控制列表和物理访问同等重要路由器的条目和防火墙、交换机有部分重叠但侧重点在“安全区域划分”和“进出流量双向过滤”。这份文档最实用的地方在第 4 章后半段的 ACL 示例——它用两组配置演示了“外进内”和“内出外”两个方向的过滤写法逻辑可以直接复刻到任何品牌路由器上。4.1 路由器访问控制双向过滤都是“默认拒绝”规范给出的入站过滤示例把 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 等私有地址和保留地址全部丢进 deny 列表再放行“任何地址访问内网对应网段”的业务流量。出站方向则“拒绝从内网发出的源地址不是内部网络合法地址的信息流”——这招防的是内网被攻陷后成为跳板伪造源地址向外发起攻击。# 外部接口拒绝私有/保留地址进入内网 no access-list 100 access-list 100 deny ip 10.0.0.0 0.255.255.255 any log access-list 100 deny ip 172.16.0.0 0.15.255.255 any log access-list 100 deny ip 192.168.0.0 0.0.255.255 any log access-list 100 deny ip 127.0.0.0 0.255.255.255 any log access-list 100 deny ip 224.0.0.0 15.255.255.255 any log access-list 100 deny ip host 255.255.255.255 any log access-list 100 permit ip any 14.2.6.0 0.0.0.255 interface eth0/0 description external interface ip address 14.1.1.20 255.255.0.0 ip access-group 100 in这段做的是外部接口的入站方向先拒绝所有非公网地址段再放行目标为内网网段的合法流量最后隐式拒绝。172.16.0.0/12 的反掩码写成0.15.255.255是有讲究的——它覆盖了 172.16.0.0 到 172.31.255.255 整个 /12 段写成0.0.255.255就只挡了一半。这是文档里最容易被抄错的一处需要注意。内出方向同样关键# 内部接口拒绝源地址不是内网段的流量 no access-list 102 access-list 102 permit ip 14.2.6.0 0.0.0.255 any access-list 102 deny ip any any log interface eth0/1 description internal interface ip address 14.2.6.250 255.255.255.0 ip access-group 102 in方向是in意思是从内网侧进入路由器的流量——先检查源地址是否为内网合法网段不是就丢。注意这条只在内口上生效外口不受影响。很多初学者会把接口和方向搞反导致该过滤的没过滤不相关的先被堵了。4.2 控制台、VTY、辅助线路把管理入口一个个堵实规范里的路由器示例对三类管理入口做了强化console 口transport input none禁止任何协议接入、login local使用本地认证、exec-timeout设置会话超时aux 口直接no exec彻底关闭vty 口用 ACL 限制可登录来源。# 关闭辅助端口 line aux 0 transport input none login local exec-timeout 0 1 no exec # VTY 仅允许管理网段 no access-list 90 access-list 90 deny any log access-list 90 permit 192.168.100.0 0.0.0.255 line vty 0 4 access-class 90 in transport input none login local exec-timeout 0 1 no execaccess-class 90 in是典型的“白名单黑名单”组合先deny any再permit指定网段顺序不能反。exec-timeout 0 1表示 0 分钟 1 秒后超时——因为网络故障时 1 秒后超时是标准配置实际上真正保护的是no exec这条直接封死 aux。4.3 关闭路由器上的鸡肋服务show proc 是一条自查命令规范附录里列了一长串需要关闭的端口和服务像 finger、HTTP server、bootp server、配置自动加载等其中 TCP/UDP small servers 是历史遗留问题。虽然现在主流设备默认关闭但很多旧型号和二手设备仍默认开启等保测评时这些问题还是会被翻出来。# Cisco 路由器关闭常见服务 no service tcp-small-servers no service udp-small-servers no ip http server no ip bootp server no service fingershow proc是排查时先跑的命令——如果看到TCP Small Servers、HTTP CORE、Bootp这些进程还活着说明服务没关干净。关闭这些的主要目的是减少探测面尤其是 HTTP 和 finger前者容易暴露设备信息后者可以直接列用户名。5. 避坑指南网络设备加固最容易踩的五个坑规范里的条目大多看似“顺理成章”但真正落地时总有几个细节会让老手也栽跟头。这几条都是我在设备巡检和应急响应中反复见过的真实场景按“现象→原因→解决”的方式展开。5.1 规则次序调整后“拒绝”规则全部失效现象调整防火墙规则后内网访问外网的业务正常但原本应该被拦截的地址段突然能出站了。原因新规则把“允许内网到外网”这类宽泛规则放在了“拒绝指定 IP”之前。防火墙按首次匹配执行策略宽规则先命中细规则就没有机会生效。解决调整前先梳理已有规则再按“反欺骗 → 业务放行 → 管理放行 → 拒绝并报警 → 拒绝并记录”的顺序排列。每次改完用安全策略模拟工具或手工抽样验证几条原本被拦截的地址是否还丢包。5.2 NTP 没配防火墙日志和 IDS 时间线串不上现象攻击事件分析时防火墙报警时间是 10:05IDS 报警是 18:05NTP 没生效导致 8 小时时差来回比对浪费了半天工时。原因防火墙默认使用 UTC 时间和本地时区相差 8 小时有些设备配了 NTP 但时区没设或者 NTP 源地址不可达后静默降级。解决排查时先跑show ntp status确认 NTP 同步状态再检查clock timezone时区设置最后可以用debug ntp packet观察 NTP 协商细节。最保险的做法是“NTP 时区 日志时间戳”三件套一起配缺一个都不行。5.3 交换机未用端口“关了又活”现象明明把闲置端口 shutdown 了等保测评扫描时还是发现该端口有响应。原因端口被 shutdown 后如果交换机默认开启了 DTP 或 LLDP对端设备发协商包激活了端口。有些型号的交换机在端口配置为switchport mode dynamic auto时即使shutdown也有被重新拉起的可能。解决规范第 2.19 条提到的“使端口 auto-trunking 失效”是关键。配置顺序是shutdown→switchport mode access→switchport nonegotiate。同时把未用端口划入独立的黑洞 VLAN双保险。5.4 SNMP 团体字设置了但只读/读写权限搞反现象扫描器发现设备 SNMP 可读且能直接读出路由表、ARP 表和接口流量。原因团体字设置为public只读向且 ACL 来源没限制。有些运维为了“方便监控”默认就配成只读没想到扫描器也能用同样的字符串读数据。解决配置时先把来源 IP 限制到监控服务器再确认权限类型。华为设备是snmp-agent community read cipherCisco 是snmp-server community RO权限大小写要注意。如果业务实在不需要 SNMP直接按规范第 2.18 条“不使用时使 SNMP 失效”处理。5.5 管理 VLAN 和业务 VLAN 共用等于没隔离现象内网段被扫描后管理口暴露在业务网内攻击者直接尝试暴力破解设备登录。原因带外管理不可行时“为带内管理指定一个独立的 VLAN 号”这条规范被忽略了。管理 VLAN 与业务 VLAN 混跑管理接口的 IP 在业务子网内可达本质上等于把设备配置台放到了公网上。解决划出专门管理 VLAN管理口 IP 单独编址访问控制列表只允许运维网段访问管理 VLAN。如果交换机支持还可以启用管理平面保护——华为的management-plane protect和思科的control-plane命令都能限制 CPU 处理的管理流量来源这是比单纯划 VLAN 更深的防线。6. 把规范变成一套可落地的巡检机制自查清单和三个验证技巧拿到这份规范如果只是“看懂了”就收起来价值基本为零。真正有用的做法是把它变成本单位的季度巡检表和设备上线检查单——每条规范对应一条检查项勾完就能出结论。下面是一套我实际用过的转换方法。先按设备类型把规范条目拆成表格式自查清单分“管理面 / 规则面 / 日志面 / 服务面 / 物理面”五个维度收敛。比如防火墙部分可以做成下表检查维度检查项验证命令Cisco 风格判定标准管理面SSH 代替 Telnetshow ssh/show line vtyvty 仅 transport input ssh管理面HTTP/HTTPS 管理关闭show runinclude http规则面反欺骗规则存在show access-list OUTSIDE_IN有 deny 私有地址段条目规则面默认拒绝兜底show access-list最后一条为 deny any any log日志面日志服务器配置show logging日志主机可达日志面NTP 时间同步show ntp status状态为 synchronized服务面SNMP 团体字强度show runinclude snmp服务面ICMP 限制show runinclude icmp交换机部分多出几项 VLAN 与端口安全所有端口show interface status确认非 up 端口已 shutdownshow vlan brief确认 VLAN 1 没有用户端口show interfaces trunk确认 native VLAN 不是业务 VLAN。路由器部分重点看 ACL 应用方向show ip interface确认ip access-group in挂在哪一侧。第二个验证技巧是“变更后的快速回归”每次策略变更后用同样的内外网地址跑一遍预期可达性。比如改完防火墙规则从外部测一次原本被允许的端口和原本被拒绝的端口从内部测一次源地址伪造是否被丢。摇测三步外口 ping 外部目标、内口 ping 外口、被动等待 30 秒看日志有没有丢包记录。这三步能覆盖 80% 的策略误配场景。第三个技巧是把规范条目变成“我要巡检”的提醒触发器在日志服务器或其他管理工具上建周期任务每季度自动比对一次 NTP 配置、SSH 配置、SNMP 团体字和“默认拒绝”规则是否存在。设备配置我一般会在每次上线前强制跑一遍“版本备份 → 加固配置 → 服务核对 → 日志核对 → 时间校验”五步流程。把配置文件存在安全的地方连同show version和show run输出一起归档坏了可以直接回滚这就是我习惯上的“后悔药”。这套规范本身是一个很好的起跑线。它的条目不是“建议”而是“检查项”——每一条都对应一次验证动作。从那以后我每次给新设备做上线配置都会强制走一遍这份清单哪怕只是十分钟的核对也能省掉后面几个小时的应急排查。希望帮到你。本文还有配套的精品资源点击获取