网络安全设备配置实战：ACL、VLAN隔离与AAA认证——企业边界“怎么守“

Clz_1997

189人浏览 · 2026-10-20 15:53:58

Clz_1997 · 2026-10-20 15:53:58 发布

安全运维绕不开"设备"：

交换机、路由器、防火墙，安全配置怎么做？
ACL 怎么写？VLAN 隔离怎么搞？
AAA 认证，设备登录安全怎么落地？

网络设备安全是安全运维与网络课程的"基本功"，也是培训机构网络设备课核心模块。
这篇文章把 ACL、VLAN、AAA、端口安全、日志审计 一次讲透，命令级带练（华为/思科双平台），建议收藏。

一、网络设备为什么是"重点"

设备的"地位"：

边界设备：进出流量的"大门"
核心设备：全网的"交通枢纽"
一旦被攻：全网络被控/瘫痪

常见问题：

默认口令/弱口令
Telnet明文登录
ACL缺失（流量裸奔）
端口全部开放

一句话认知：“设备=网络的大门和枢纽——‘门不锁、枢纽没检查，全内网裸奔’。”

二、登录安全：AAA 认证怎么配

AAA（认证、授权、审计）：设备登录的"三件套"。

为什么"必须"：

本地口令：换人就要改，难审计
AAA：统一认证+授权+审计（合规）

配置要点（华为示意）：

aaa
 authentication-scheme default
 认证方案（本地/远程）
 authorization-scheme default
 授权（命令分级）
 accounting-scheme default
 审计（操作记录）

一句话：“AAA=认证+授权+审计——‘登录有据可查，命令分级授权’。”

三、流量控制：ACL 怎么写

ACL（访问控制列表）：按规则"放行/拒绝"流量。

核心原则：默认拒绝，最小开放。

标准ACL（按源IP，示意）：

acl number 2000
 rule 5 permit source 192.168.10.0 0.0.0.255
 rule 10 deny source any

扩展ACL（按源+目的+端口，示意）：

acl number 3000
 rule 5 permit tcp source 10.1.1.0 0.0.0.255 destination 192.168.1.10 0.0.0.0 destination-port eq 443
 rule 10 deny ip source any

一句话：“ACL核心：拒绝默认、开放最小——‘标准按源，扩展按源+目的+端口’。”

四、网络隔离：VLAN 与端口安全

VLAN 隔离：把网络切成"安全域"。

管理VLAN：管理网单独（不暴露业务）
服务器VLAN/办公VLAN：隔离
跨域访问：走ACL+防火墙控制

端口安全（防非法接入）：

限制端口MAC数量：防插网线乱连
未授权MAC：丢弃/告警（示意）

一句话：“VLAN切域、端口防乱连——‘网络分段，攻击面就小了’。”

五、日志审计：syslog 怎么配

为什么"必须留日志"：

设备操作记录（谁改了什么）
登录失败记录（被爆破证据）
配置变更留痕（合规）

syslog 配置要点（示意）：

① 指定日志服务器（IP+端口514）
② 设备发送：info/warning级别日志
③ 关键事件：登录/配置变更/ACL命中

一句话：“日志三件事：指定服务器、定级别、记关键事件——‘没日志，出事没证据’。”

六、设备安全学习路线：从配置到基线（新手版）

阶段1：基础（1-2周）

学设备基础（交换/路由/防火墙）
学网络分段概念（VLAN）
自建模拟环境（GNS3/EVE-NG，自建）

阶段2：登录与流量（2-3周）

练AAA配置
练ACL配置（标准/扩展）
学登录安全（SSH替代Telnet）

阶段3：隔离与审计（2-3周）

练VLAN隔离+端口安全
练syslog日志
输出"设备安全基线清单"

检验标准：能在模拟器里完成"AAA+ACL+VLAN+日志"配置，讲清每项为什么。

🎉恭喜你！网络设备安全"入门"达成

学到这里，你已经掌握网络设备安全核心技能，可以：

安全运维/网络运维
网络与安全设备实施
等保整改（网络部分）

薪资区间：8k-20k，设备安全是运维岗位"标配技能"，企业刚需。

这条路，大概需要 2 个月的系统投入。

写在最后：学习与交流

网络设备安全讲完了。
学到这里，你已经知道"登录怎么守、ACL怎么写、VLAN怎么隔、日志怎么留"——但设备只是网络的一部分，前面有网络基础、后面有系统安全、业务安全，一环扣一环。

如果你想系统学习网络安全设备配置：

设备基础课：交换/路由/防火墙
配置实战：AAA/ACL/VLAN/端口安全
双平台带练：华为+思科

想继续学下去、或想要设备配置模板的，评论区扣"1"，或私信老师咨询课程详情。

在这里插入图片描述

特别声明

此教程为纯技术分享！本文目的绝不是为怀有不良动机的人提供技术支持！也不承担因为技术被滥用所产生的连带责任！本文所有配置操作只允许在自有设备、模拟器环境、授权范围内进行，严禁对未授权网络实施任何配置变更（属违法行为），目的是帮助大家正确加固自有网络设备！

【专业附录】网络设备安全·配置与原理速查

附录一：华为 AAA 完整配置（三段式）

# 认证（Authentication）：确认身份
aaa
 authentication-scheme auth1
  authentication-mode local    # 本地账号认证
 authorization-scheme authz1
  authorization-mode local     # 本地授权（命令分级）
 accounting-scheme acct1
  accounting-mode hw           # 硬件记录审计
 local-user admin password irreversible-cipher XXXX
 local-user admin privilege level 3      # 管理级
 local-user admin service-type ssh telnet
# 应用：接口/VTY下启用AAA
# 审计输出：查看登录与命令记录

附录二：思科 AAA 与认证协议对比

协议	加密	授权命令	适用
RADIUS	仅密码加密	有限	接入认证（无线/拨号）
TACACS+	全加密	完整命令授权	设备管理首选

! 思科设备管理用TACACS+
aaa new-model
aaa group server tacacs+ SRV
 server 10.1.1.10
tacacs-server key XXXX
aaa authentication login default group tacacs+ local
aaa authorization exec default group tacacs+ local
aaa accounting exec default start-stop group tacacs+

附录三：ACL 通配符掩码计算

通配符掩码：0=必须匹配，1=忽略该位
/24 网段 192.168.10.0 → 掩码 0.0.0.255
/25 网段 192.168.10.128 → 掩码 0.0.0.127
反掩码换算：255.255.255.255 - 子网掩码
示例：
  permit 192.168.10.0 0.0.0.255   # 放行/24
  deny 10.1.1.0 0.0.0.127         # 拒绝/25

附录四：常用端口速查（写ACL用）

端口	协议/服务	管理用途
22	SSH	安全远程管理（放行）
23	Telnet	明文登录（禁止）
3389	RDP	远程桌面（限源）
443	HTTPS	管理Web（限源）
161	SNMP	监控（限源+只读）

附录五：VLAN 与端口安全完整配置

# 华为：VLAN划分
vlan batch 10 20 100
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10            # 接入VLAN10
# 端口安全：限制接入MAC
interface GigabitEthernet0/0/2
 port-security enable
 port-security max-mac-num 1
 port-security protect-action discard   # 超限丢弃
# 管理网：VLAN100仅限管理ACL

附录六：syslog 级别与配置

级别	数值	含义
Emergency	0	系统不可用
Alert	1	需立即处理
Critical	2	严重故障
Error	3	错误
Warning	4	警告
Notice	5	正常但需注意
Informational	6	信息
Debug	7	调试（不常开）

# 华为：集中日志
info-center enable
info-center loghost 192.168.100.5 severity informational
# 关键事件（登录/配置变更）默认记录

附录七：设备加固基线要点（CIS IOS类）

① 全局关闭未用服务（HTTP/Telnet/FTP）
② 启用SSH v2并关闭v1
③ 管理接口限制管理网段ACL
④ 默认口令全部修改，启用密码加密（service password-encryption）
⑤ 启用登录限速（login block-for）
⑥ 日志集中存储并定期备份配置
⑦ 配置变更走审批流程

附录八：设备巡检与排障命令速查

# 华为
display interface brief            # 接口状态
display current-configuration      # 当前配置
display acl all                    # ACL命中统计
display logbuffer                  # 本机日志
display arp                        # ARP表（异常MAC）
# 思科
show ip interface brief
show running-config
show access-lists
show logging
show arp
排障思路：接口→路由→ACL→日志，逐层定位

附录九：网络设备安全管理六项原则

① 最小暴露：只开放管理必需端口/服务
② 最小权限：分级账号，只读/管理分离
③ 默认拒绝：ACL白名单式放行
④ 全程留痕：登录+命令+配置变更审计
⑤ 定期轮换：口令/密钥定期更换
⑥ 变更受控：配置变更走审批+备份

附录十：华为/思科命令对照表

功能	华为	思科
查看配置	display current-configuration	show running-config
保存配置	save	write memory
查看接口	display interface brief	show ip interface brief
查看路由	display ip routing-table	show ip route
查看日志	display logbuffer	show logging