一、网络设备安全概况
1.1 交换机安全威胁
交换机是构成网络的基础设备，主要的功能是负责网络通信数据包的交换传输。
目前，按照交换机的功能变化，将交换机分为五代：
交换机面临的网络安全威胁主要有
1.2 路由器安全威胁
路由器不仅是实现网络通信的主要设备之一，而且也是关系全网安全的设备之一，它的安全性、健壮性将直接影响网络的可用性。
无论是攻击者发动DoS、DDoS攻击，还是网络蠕虫爆发，路由器往往会首当其冲地受到冲击，甚至导致路由器瘫痪，从而造成网络不可用。
路由器面临的网络安全威胁主要有
二、网络设备安全机制与实现技术
2.1 认证机制
为防止网络设备滥用，网络设备对用户身份进行认证，用户需要提供正确口令才能使用网络设备资源
市场上的网络设备提供的口令认证有：Console口令、AUX口令、VTY口令、user 口令、privilege-level口令等多种形式
以路由器为例，Console 口令的使用过程如下:
Router #config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) #line console 0
Router (config-line) #login
Router (config-line) #password console-password
Router (config-line) #^Z
Router#
为了便于网络安全管理，交换机、路由器等网络设备支持TACACS+ (Terminal Access Controller Access Control System)认证、RADIUS (Remote Authentication Dial In User Service)认证
TACACS+认证的过程如图
假定服务器的密钥是MyTACACSkey，配置网络设备使用TACACS+服务器的步骤如下:
现以路由器通过AUX、VTY使用TACACS+进行认证为例，其中，TACACS+服务器的IP地址为X.Y.Z.10，服务器的密钥是MyTACACSkey
其配置过程如下:
Router#config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) #aaa new-model
Router (config) #tacacs-server host X.Y.Z.10
Router (config) #tacacs-server key MyTACACSkey
Router (config) #aaa authentication login default group tacacs+ local
Router (config) #line aux 0
Router (config-line) #login authentication default
Router (config-line) #exit
Router (config) #line vty 0 4
Router (config-line) #login authentication default
Router (config-line) #^Z.
Router#
TACACS+要求用户提供用户名和口令进行认证，认证通过后再进行授权操作和审计
相比于TACACS+，RADIUS的认证过程简单，如图
配置网络设备使用RADIUS认证的步骤如下
2.2 访问控制
网络设备的访问可以分为
网络设备的访问方法：主要有控制端口(Console Port)、辅助端口(AUX Port)、VTY、HTTP、TFTP、SNMP，Console、AUX和VTY称为line，每种访问方法都有不同的特征
1. CON端口访问
为了进一步严格控制CON端口的访问，限制特定的主机才能访问路由器
可做如下配置，其指定X.Y.Z.1可以访问路由器
Router (Config) #Access-list 1 permit X.Y.Z.1
Router (Config) #line con 0
Router (Config-line) #Transport input none
Router (Config-line) #Login local
Router (Config-line) #Exec-timeoute 5 0
Router (Config-line) #access-class 1 in
Router (Config-line) #end
2. VTY访问控制
为保护VTY的访问安全，网络设备配置可以指定固定的IP地址才能访问，并且增加时间约束
3. HTTP访问控制
限制指定IP地址可以访问网络设备
4. SNMP访问控制
为避免攻击者利用Read-only SNMP或Read/Write SNMP对网络设备进行危害操作，网络设备提供了SNMP访问安全控制措施，具体如下:
一是 SNMP访问认证：当通过SNMP访问网络设备时，网络设备要求访问者提供社区字符串(community strings)认证，类似口令密码
如下所示，路由器设置SNMP访问社区字符串
(1)设置只读SNMP访问模式的社区字符串
Router # config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) # snmp-server community UnGuessableStringReadonly RO
Router (config) #^Z
(2)设置读/写SNMP访问模式的社区字符串
Router# config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) # snmp-server community UnGuessableStringWriteable RW
Router (config) #^Z
二是限制SNMP访问的IP地址：如下所示，只有X.Y.Z.8和X.Y.Z.7的IP地址对路由器进行SNMP只读访问
Router # config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) #access-list 6 permit X.Y.Z.8
Router (config) #access-list 6 permit X.Y.Z.7
Router (config) #access-list 6 deny any
Router (config) # snmp-server community UnGuessableStringRead0nly RO 6
Router (config) #^Z
三是关闭SNMP访问：如下所示，网络设备配置no snmp-server community命令关闭SNMP访问
Router #config terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router (config) #no snmp-server community UnGuessableStringReadonly RO
Router (config) #^Z
5.设置管理专网
远程访问路由器一般是通过路由器自身提供的网络服务来实现的，例如Telnet、SNMP、Web服务或拨号服务
虽然远程访问路由器有利于网络管理，但是在远程访问的过程中，远程通信时的信息是明文，因而，攻击者能够监听到远程访问路由器的信息，如路由器的口令
为增强远程访问的安全性，应建立一个专用的网络用于管理设备，如图
同时，网络设备配置支持SSH访问，并且指定管理机器的IP地址才可以访问网络设备，从而降低网络设备的管理风险，具体方法如下
6.特权分级
针对交换机、路由器潜在的操作安全风险，交换机、路由器提供权限分级机制，每种权限级别对应不同的操作能力
在Cisco网络设备中，将权限分为0~15共16个等级，0为最低等级，15为最高等级，等级越高，操作权限就越多
具体配置如下
Router>show privilege
Current privilege level is 1
Router>enable 5
Password: level-5-password
Router#show privilege
Current privilege level is 5
Router#
2.3 信息加密
网络设备配置文件中有敏感口令信息，一旦泄露，将导致网络设备失去控制
为保护配置文件的敏感信息，网络设备提供安全加密功能，保存敏感口令数据
2.4 安全通信
网络设备和管理工作站之间的安全通信有两种方式
1. SSH：为了远程访问安全，网络设备提供SSH服务以替换非安全的Telnet，其配置步骤如下
如下所示，是在路由器RouterOne上设置 SSH访问，VTY配置成只允许SSH访问
Router #config terminal
Enter configuration commands，one per line. End with CNTL/Z.
Router (config) #hostname RouterOne
RouterOne (config) #ip domain-name mydomain.com
RouterOne (config) #crypto key generate rsa
The namefor the keys will be: RouterOne
Choose the size of the key modulus in the range of 360 to :2048 for your General Purpose Keys. Choosing a key modulus greater than 512 may take a few minutes.
How many bits in the modulus [512] : 1024
Generating RSA keys ...
[OK]
RouterOne (config) #ip ssh time-out 60
RouterOne (config) #ip ssh authentication-retries 2
RouterOne (config) #line vty 0 4
RouterOne (config-line) #transport input ssh
RouterOne (config-line) #^Z
RouterOne#
2. IPSec VPN
网络设备若支持IPSec，则可以保证管理工作站和网络设备的网络通信内容是加密传输的
其主要配置步骤如下:
2.5 日志审计
网络运行中会发生很多突发情况，通过对网络设备进行审计，有利于管理员分析安全事件
网络设备提供控制台日志审计(Console logging)、缓冲区日志审计(Buffered logging)、终端
审计(Terminal logging)、SNMP traps、AAA 审计、Syslog 审计等多种方式
由于网络设备的存储信息有限，一般是建立专用的日志服务器，并开启网络设备的Syslog
服务，接收网络设备发送出的报警信息
2.6 安全增强
为了增强网络设备的抗攻击性，网络设备提供服务关闭及恶意信息过滤等功能，以提升网络设备的自身安全保护能力
1.关闭非安全的网络服务及功能
网络设备自身提供许多网络服务，例如Telnet、Finger、HTTP 等，为了增强网络设备的安全，减少网络攻击面，网络设备应尽量不提供网络服务，或关闭危险的网络服务，或限制网络服务范围
2.信息过滤
过滤恶意路由信息，控制网络的垃圾信息流
3.协议认证
为保证路由协议的正常运行，用户在配置路由器时要使用协议认证。否则路由器就会来者不拒，接收任意的路由信息，从而可能被恶意利用
安全措施
2.7 物理安全
物理安全是网络设备安全的基础，物理访问必须得到严格控制