Cisco设备网络安全系列-2：管理访问、控制平面与基础设施ACL防护

📑 知识精讲

本课程围绕 Cisco 设备管理平面、控制平面安全展开，讲解了访问控制、认证、协议安全等防护措施，对比了不同管理方式与 ACL 类型，介绍了控制平面防护配置方法。

网络设备三层功能平面划分

• **核心定义------**网络设备分为三个功能平面，负责不同核心功能：

  • 控制平面：负责学习网络信息，生成路由/转发决策；

  • 数据平面：负责实际转发经过设备的数据报文；

  • 管理平面：负责处理设备管理功能，协调控制平面与数据平面的操作。

• 风险说明：未受保护的管理平面是攻击者的首要目标，攻击者可通过管理会话欺骗、滥用管理功能获取设备控制权，修改配置进而接管整个网络（2015年 Juniper Networks 后门漏洞，硬编码后门允许攻击者获取远程管理权限，导致配置被篡改、数据被窃取，证实了管理安全的重要性）。

🚩重点：管理平面安全是企业网络整体安全的核心基础，必须优先防护。

管理访问机制分类（带内vs带外）

• 带外管理（Out-of-Band）：管理流量通过独立的专用管理网络传输，不占用业务数据带宽，也不会受业务网络故障影响。通常通过控制台端口、专用管理等端口实现，安全性更高，推荐使用。

• 带内管理（In-Band）：通过承载业务数据的普通网络实现管理功能，部署简单成本低，但存在安全风险------若业务网络被攻击，管理流量也会被 compromising，最终影响整网安全性。

🚩重点：安全性要求高的网络优先选择带外管理架构。

远程管理协议安全规范

• 推荐使用的安全协议：SSH、HTTPS、SNMPv3，此类协议提供加密、认证能力，可为管理流量提供额外安全层。

• 禁止使用的不安全协议：Telnet、HTTP、SNMPv1/SNMPv2，此类协议不加密传输流量，容易遭遇中间人攻击，泄露管理凭证。

• 协议替换对应关系：

  安全协议	替换的不安全协议	优势
  SSH	Telnet	提供强加密，要求用户名密码认证
  SNMPv3	SNMPv1/SNMPv2	使用用户名密码认证而非共同体字符串，同时提供加密和认证
  HTTPS	HTTP	使用 SSL/TLS 加密管理会话，需要服务器证书认证
  TLS + LDAP	明文 LDAP	保护身份认证流量不被泄露

🚩考点：必须记住哪些是安全协议，哪些是不安全协议，考试常考协议分类。

物理管理访问控制

• 核心意义：网络设备的物理安全是网络安全策略不可忽略的部分，若攻击者可以物理接触设备，就有可能获取设备上的数据或流经设备的数据。

• 安全措施分类：

  1. 安全物理访问：将网络设备放置在上锁的、访问受控的机房或数据中心；无专用机房时使用带锁的安全机柜放置设备。

  2. 仅允许授权人员进入：禁止非授权人员（如保洁）进入受控 IT 区域，所有维护工作由 IT 人员完成。

  3. 物理访问管控：使用工牌门禁、生物识别、Keycard 等认证方式管控网络运营中心（NOC）的出入。

  4. 限制控制台访问：禁用未使用的控制台端口；需要启用的端口必须配置强认证，每个管理员使用独立账号，通过 RADIUS/TACACS+ 对接中心身份库认证。

安全认证与访问控制

• AAA框架：认证（Authentication）、授权（Authorization）、计费（Accounting），要求用户在获得设备管理权限前必须完成身份认证。

🚩重点：两个最常用的 AAA 协议是 RADIUS 和 TACACS+。

• 多因素认证（MFA）：要求用户提供多种形式的验证后才授予访问权限，是防范未授权访问的第一道防线。

  • 实施要求：所有管理员登录（控制台、SSH、Web 管理）都必须强制启用 MFA，结合强密码策略 + 二级认证因子（基于时间的一次性密码 TOTP、生物识别、硬件安全令牌）；

  • 额外防护：多次认证失败后启用账户锁定策略，防止暴力破解攻击。

• 基于角色的访问控制（RBAC）：遵循最小权限原则，仅给管理员分配完成其岗位工作所需的最小权限，降低误操作或恶意篡改的风险。

  • 典型权限划分：帮助台仅一级权限，可执行查看命令，不能修改配置或调试；安全管理员和网络管理员分配最高级权限，但仅开放对应职责范围内的配置权限。

  • 进阶实践：实现即时（JIT）访问控制，仅在任务执行时间段开放提升的权限，任务结束后收回，关键设备需要重新授权。

设备加固

• 定义：通过配置修改缩小设备攻击面，关闭不必要服务、安装安全补丁、实施强访问控制的设备安全防护过程。

• 核心加固措施：

  1. 关闭未使用的端口和服务------关闭所有未启用的接口，禁用不必要服务，消除未授权访问入口。

  2. 应用安全配置------管理员账号使用复杂密码，启用管理会话加密。

  3. 配置审计------定期检查设备配置是否符合安全策略，可使用脚本或安全工具自动化审计。

日志与监控

• 核心作用：及时发现管理访问是否被攻陷，同时满足合规要求，日志需要包含时间、凭证来源、IP 地址、执行命令/修改配置、涉及设备等完整信息。

• 实施要点：

  1. 在设备上启用日志：记录认证尝试、配置修改、可疑活动。

  2. 将日志存储在中央位置：通过 Syslog、SNMP Trap 将日志发送到中心服务器，避免攻击者删除本地日志掩盖攻击痕迹。

  3. 集中化日志管理：将日志转发到 SIEM（安全信息与事件管理）系统进行分析，借助AI识别跨设备的攻击行为。

  4. 实时监控与告警：针对登录失败、未授权配置修改、异常行为设置告警，越及时发现未授权访问，造成的损害越小。

On-Box vs Off-Box管理架构对比

• 本地 On-Box 管理：管理功能直接在设备本地实现，适合设备数量少、配置简单的小规模网络部署，典型平台：Cisco Adaptive Security Device Manager、Cisco Secure Firewall Device Manager。

• 集中 Off-Box 管理：通过专用集中管理平台同时管理多台设备，适合包含多类型设备的大规模部署，扩展性和灵活性更好，典型平台：Cisco Secure Firewall Management Center、Cisco Defense Orchestrator、Cisco Security Manager。

控制平面安全与防护

• 控制平面定义：控制平面是网络设备中负责决策数据包转发方式的部分，通过路由表、ARP、STP 等协议学习网络环境，生成转发决策。

• 核心威胁：控制平面主要面临两类威胁：流量过载（拒绝服务攻击）控制平面、控制平面信息被篡改。

• 控制平面 policing（CoPP）：针对控制平面流量做速率限制，防范 DoS 攻击（如大量 ping 泛洪），通过丢弃超出速率限制的流量或将其标记为低优先级，避免控制平面过载。

  • 配置步骤：

    1. 使用 ACL 分类需要限流的流量（例如 BGP 协议流量），将分类结果绑定到 class map。

    2. 配置 policy map，定义匹配流量的限流策略（例如限制 BGP 流量不超过400kbps）。

    3. 将策略应用到控制平面（而非普通接口）。

• 二层控制协议防护（STP）：启用 BPDU Guard，当接入端口收到 BPDU 报文时自动禁用该端口，防范非法交换机接入改变 STP 拓扑，保护 STP 安全性。

基础设施 ACL vs 设备中心 ACL

• 设备中心 ACL（Device-Centric ACL）：部署在单个设备上，每个设备独立过滤流量，缺陷是恶意流量已经进入网络后才会被过滤，此时设备可能已经被影响。

• 基础设施 ACL（Infrastructure ACL）：在网络边缘部署过滤，是防范恶意流量的第一道防线，在恶意流量进入网络被设备处理前就将其丢弃，效率更高，对设备性能影响更小（通常在硬件层面实现过滤）。

• 可防护的攻击类型：泛洪攻击、DoS/DDoS、IP欺骗、路由攻击、恶意软件传播。

• 实施策略：

  1. 按照 RFC 1918 和 RFC 3330 规范，阻断来自私有地址和特殊 IP 段的流量。

  2. 阻断源自你方公网地址段、从外部进入的流量（防范源 IP 欺骗）。

  3. 阻断所有发往网络基础设施IP的流量并记录日志，仅放行必要的网络信令流量（如外部 BGP 会话）。

  4. 放行其余正常转发流量，保证业务正常运行。

📖 课堂实录

**课程目标：**本次课程围绕 Cisco 设备安全管理访问展开，目标是让学习者理解管理平面安全的重要性，掌握各类管理访问机制、协议和安全措施，对比两种管理架构适合的场景，最终掌握保护企业网络 Cisco 设备管理访问的能力。学习者应当能------说明保护 Cisco 设备管理访问的必要性、对比带外与带内管理、列举远程管理协议、解释管理平面安全措施、区分本地和集中管理模式。

网络设备三层功能平面划分： 现代复杂企业网络中，保护网络设备的核心功能是企业安全与完整性的基础。网络设备分为三个功能平面------控制平面 负责学习网络信息，数据平面负责转发数据，管理平面负责处理设备管理功能，协调另外两个平面的运行。未受保护的管理平面很容易成为攻击者的目标，攻击者可通过管理会话欺骗、滥用管理功能获取设备控制权，修改配置，最终接管整个网络，因此保护管理访问必须先理解各类管理机制和协议的特性。

**两类管理访问机制对比：**访问网络设备的管理分为两类------带外管理和带内管理，二者可以同时使用，但推荐优先使用带外管理提升安全性。带外管理通过独立的带外管理网络传输管理流量，部署管理和监控应用，不干扰业务数据流量，通常通过控制台端口、专用管理端口或配置为管理端口的普通端口实现访问。带内管理则通过业务数据网络和业务端口实现管理功能，优势是成本低、部署简单，但存在潜在安全风险------攻击者如果攻陷业务网络，就会同时威胁管理通信和整网完整性。

**远程管理协议分类与安全要求：**远程管理 Cisco 设备可使用多种协议，包括 SSH、HTTPS、SNMP、HTTP 和 Telnet。推荐使用 SSH、HTTPS、SNMPv3 这类安全协议，为管理增加额外安全层；应当避免使用 SNMPv1、SNMPv2、HTTP、Telnet，这些协议不对数据流量加密，会将设备间通信暴露给中间人攻击这类威胁。

**管理平面未授权访问防护措施：**防护未授权的管理平面操作需要多层独立防护机制------可部署接口访问控制（ACL），在所有接口阻断访问设备管理 IP 的流量；配置特定服务的 ACL，限制访问特定管理进程；通过控制平面保护简化增强管理访问控制，在虚拟控制平面接口集中管控；还可以指定一个或多个接口为管理接口，仅允许管理流量进出设备。此外需要使用 AAA（认证、授权、计费）框架，要求用户在获得管理访问前完成认证，用户认证可对接本地设备数据库，或通过 RADIUS、TACACS+ 对接外部服务器（如 Cisco ISE）。

**两种管理部署模式对比：**Cisco 设备的管理功能可以通过两种方式实现------本地 On-Box 管理和集中 Off-Box 管理。本地管理适合设备数量少、配置简单的小规模部署，典型平台包括 Cisco Adaptive Security Device Manager、Cisco Secure Firewall Device Manager；集中式 Off-Box 管理允许同时集中管理多台设备，典型平台包括 Cisco Secure Firewall Management Center、Cisco Defense Orchestrator、Cisco Secure Email and Web Manager、Cisco Security Manager，由于其灵活性和集中架构，适合包含多类型设备的大规模部署。

**Cisco 管理访问安全总结：**本次课程讲解了 Cisco 设备管理平面安全的重要性，介绍了带内和带外两类管理机制、各类远程管理协议、限制管理平面访问的安全措施，以及选择本地和集中管理的考量因素，帮助学习者提升企业网络 Cisco 设备的管理安全水平。

**控制平面安全案例引入：**引入案例------一家小型软件公司遭遇全网断网，不是病毒或勒索软件导致，而是针对网络核心的控制平面攻击造成的。新员工 Jane 刚完成 CCNA 认证，需要保护公司所有 Cisco 路由器免受控制平面攻击，她需要回忆控制平面的定义、威胁和 mitigation 方法。本次课程讲解了控制平面的作用、为什么需要防护、识别常见威胁、描述缓解技术、讲解如何在 Cisco 设备上配置控制平面 policing。

**控制平面与数据平面的定义区分：**控制平面是网络设备中决定数据包转发方式的部分，负责学习网络环境信息，利用路由表、ARP、STP 等协议信息做出转发决策；而数据平面负责实际通过网络转发数据报文。保护控制平面本质是保护网络设备本身，对维持网络稳定和安全至关重要。

**控制平面核心威胁分类：**控制平面面临两类核心威胁------流量过载导致控制平面瘫痪、控制平面信息被篡改。因此需要保护 OSPF 这类控制平面使用的协议，避免控制平面被流量淹没，需要对到达设备的流量做 policing（速率控制），因此优先需要配置控制平面 policing（CoPP）。

**控制平面 Policing（CoPP）的防护原理：**CoPP 对发往设备控制平面的流量做速率限制，可以防范 DoS 攻击（如大量 ping 请求）导致的设备过载。它通过丢弃超出限制的流量或将其标记为低优先级，避免设备控制平面过载。

**CoPP 配置步骤讲解：**配置 CoPP 分为三步：

1. 定义需要限流的流量：使用 class map 做流量分类，可结合 ACL 实现，例如要对 BGP 流量限流，就配置 ACL 识别 BGP 流量并绑定到 class map。

2. 定义 policy map：配置匹配流量的限流规则，例如配置为丢弃超过 400kbps 的 BGP 流量（数值仅为示例，不同设备环境需要调整）。

3. 应用策略：不同于普通接口应用 ACL/策略，CoPP 需要将策略应用到控制平面本身。

**控制平面信息防篡改防护：**除了流量过载，还需要防范控制信息被篡改，需要保护所有相关协议，例如二层的 STP 协议（防止网络环路）需要做安全加固------启用 BPDU Guard，当接入端口收到 BPDU 报文（这类报文本应该只来自交换机，不应该来自接入端口连接的终端）就自动禁用该端口，防范非法设备/错误配置破坏 STP 拓扑。

**控制平面安全总结：**保护企业网络的控制平面可以保证路由、协议这类核心网络功能稳定、不中断、受保护。没有防护的情况下，攻击者可以中断核心网络运行，导致 outage、性能下降甚至全网瘫痪，影响业务连续性、客户信任和整网安全。

**基础设施 ACL：**本次课程讲解基础设施 ACL，对比它相对设备中心 ACL 的优势，介绍可防护的攻击类型、示例和实施策略，帮助学习者利用基础设施 ACL 保护网络资源。课程结束后学习者应当能区分设备中心 ACL 和基础设施 ACL、识别基础设施 ACL 可防护的攻击类型、掌握基础设施 ACL 的实施策略。

**基础设施 ACL 的核心价值：**攻击者不仅会通过窃取敏感数据威胁网络安全，还会通过破坏设备性能和完整性危害网络，影响业务运行，可通过 ACL 限制未授权访问实现防护。ACL 分为两类------设备中心 ACL 和基础设施 ACL。设备中心 ACL 部署在单个设备上，每个设备独立过滤流量，缺陷是恶意流量已经进入网络后，设备才会处理过滤，此时设备可能已经被影响；基础设施 ACL 在网络边缘过滤流量，是抵御恶意流量的第一道防线，在恶意流量被设备处理前就将其阻断，从源头避免威胁。

**基础设施 ACL 可防护的攻击类型：**路由器和交换机的 CPU 负责三个核心功能------控制平面、管理平面、慢速数据路径，任何一个功能过载都会影响设备整体性能。攻击者可通过泛洪攻击，向 CPU 发送高速率流量，瘫痪网络基础设施，基础设施 ACL 可在网络边缘过滤流量，缓解这类威胁；此外还可防护 DoS/DDoS、IP 欺骗、路由攻击、恶意软件传播等多种攻击。

**基础设施 ACL 的工作逻辑：**假设企业网络有多台路由器、交换机、防火墙，攻击者使用私有源 IP 发送恶意报文，如果没有边缘过滤，很容易攻破设备和数据安全；在网络边缘部署基础设施 ACL，可以在恶意流量到达设备前就阻断大多数 unwanted 流量，并且基础设施 ACL 通常在三层交换机和高端路由器的硬件中实现，过滤恶意流量对网络性能影响极小。

**基础设施 ACL 实施策略------**实施基础设施 ACL 需要遵循以下策略：

1. 阻断来自 RFC 1918 和 RFC 3330定义的私有和特殊 IP 地址段的流量。

2. 同时阻断源地址为你方自有公网地址段、从外部网络进入的流量（防范 IP 欺骗）。

3. 阻断所有发往网络基础设施 IP 的流量并记录日志，防止未授权的路由或管理流量，注意该规则不会阻断恶意 CPU 密集型流量。

4. 放行其余所有流量，保证正常业务流量可以转发。

如果有特殊需求，可放宽第一条规则，放行必要的网络信令流量，比如来自外部网络的 BGP 会话。可使用传统 Cisco IOS XE 软件 ACL 和 Cisco Secure Firewall 访问策略实现基础设施 ACL，针对特殊情况还可考虑在网络边缘结合基于类的 policing 这类限速功能。

基础设施 ACL 总结： 基础设施 ACL 在网络边缘过滤流量，可在恶意流量进入网络前就将其阻断，可防护泛洪、DoS/DDoS、IP 欺骗等多种攻击，掌握其实施策略可帮助企业更好的保护网络资源。

🖍️ 重点速览

🚩 考点重点

• 带外管理的优势：优先推荐用于高安全性要求网络，管理流量独立于业务网络，更安全。

• 安全远程管理协议分类：必须记住 SSH、HTTPS、SNMPv3 是安全协议，Telnet、HTTP、SNMPv1/2 是不安全协议，禁止使用。

• 常用 AAA 协议：RADIUS 和 TACACS+ 是两个广泛使用的 AAA 协议。

• 控制平面 Policing（CoPP）作用：保护控制平面免受 DoS 流量过载攻击，配置步骤为 ACL 分类流量 → class map 分类 → policy map 定义速率限制 → 应用到控制平面。

• 基础设施 ACL 定位：网络边缘的第一道防线，在恶意流量进入网络前就过滤，比设备中心 ACL 更高效。

💡 核心概念

• 管理平面：Cisco 设备中处理设备管理功能，协调控制平面与数据平面运行的功能平面，是攻击者的首要目标，必须重点防护。

• 带外管理：管理流量通过独立专用网络传输的管理方式，安全性更高，推荐企业网络使用。

• AAA 框架：认证（Authentication）、授权（Authorization）、计费（Accounting），管理访问的核心安全框架，要求用户访问前必须完成身份认证。

• 多因素认证（MFA）：要求用户提供多种不同形式的验证后才授予访问权限，显著提升身份认证安全性。

• 基于角色的访问控制（RBAC）：遵循最小权限原则，仅为管理员分配完成岗位工作所需的最小访问权限，降低安全风险。

• 控制平面：网络设备中负责学习网络信息，生成转发决策的功能平面，是网络转发的核心。

• 控制平面 Policing（COPP）：对发往控制平面的流量做速率限制，防范 DoS 攻击导致控制平面过载的防护技术。

• 基础设施 ACL：部署在网络边缘的访问控制列表，在恶意流量进入网络内部前就进行过滤，是网络边缘的第一道防线。

✨ 课堂金句

• "Protecting the management plane is not just about securing data, it's about protecting the network device itself, which is the foundation of the whole network."

• "By enforcing strong authentication, ensuring secure configurations, restricting access, and implementing continuous monitoring, organizations can effectively protect their network infrastructure against unauthorized access and malicious threats."

🎯 课后总结

🔍 网络管理安全概述

• 核心问题：网络管理访问的安全性如何保障？未受保护的管理接口可能导致服务中断、数据泄露或网络瘫痪。

• 典型案例 ：2015年 Juniper Networks 因 ScreenOS 防火墙软件的后门漏洞，导致攻击者获得管理员权限，可修改防火墙规则、拦截数据及发起 DDoS 攻击。

• 课程目标：提供保护网络管理接口的知识、技能和最佳实践，覆盖 Cisco 300-745 SDSI v1.0考试蓝图中（基础设施管理与控制平面安全）。

🏢 物理管理访问控制

• 重要性：物理接触网络设备可能直接获取数据或操纵配置，需作为网络安全策略的核心环节。

• 关键措施：

  安全措施	实施方式
  安全物理访问	将设备存放于带锁的访问控制房间或数据中心；分支办公室使用安全机柜
  仅限授权人员	禁止非IT人员（如清洁工）进入IT区域，由IT人员负责维护任务
  物理访问控制	使用门禁卡、生物识别扫描器（如指纹）或密钥卡认证进入网络运营中心（NOC）
  限制控制台访问	禁用未使用的控制台端口；启用强认证（如 TACACS+ 或 RADIUS 集中身份验证）

🔐 安全认证与访问控制

• 多因素认证（MFA）：

  • 定义：要求多种验证形式（如密码 + 动态口令），增强管理接口安全性。

  • 实施场景：控制台、SSH、Web 管理门户等所有管理员登录。

  • 常见因素：基于时间的一次性密码（TOTP，如 Google Authenticator）、生物识别（指纹/面部识别）、物理令牌（YubiKey）。

• AAA 协议：RADIUS 和 TACACS+ 是广泛使用的认证、授权和计费协议，用于集中管理用户权限。

📡 管理访问的安全协议

• 禁用不安全协议：Telnet（明文传输）、HTTP、SNMPv1/v2（社区字符串易泄露）。

• 推荐安全协议：

  安全协议	用途与优势
  SSH	替代 Telnet，提供加密的远程 CLI 访问
  SNMPv3	支持用户名/密码认证及数据加密，替代基于社区字符串的 SNMPv1/v2
  HTTPS	通过 TLS/SSL 加密 HTTP 管理会话，需服务器证书验证
  TLS	保护其他管理流量（如 LDAP），防止认证数据泄露

• 补充实践：禁用未使用服务、通过 ACL 限制管理流量至可信 IP、使用堡垒机（Jump Server）进行远程访问。

📊 基于角色的访问控制（RBAC）

• 核心原则：最小权限原则，仅授予用户完成工作所需的最低权限。

• 关键策略：

  • 定义角色：监控用户（只读权限）、网络工程师（完全配置权限）、防火墙管理员（自定义角色）。

  • 即时访问（JIT）：权限仅在任务期间临时授予，需重新授权才能提升关键设备访问权限。

• 示例：帮助台人员仅可执行 show 命令，安全管理员可配置加密和 ACL，网络管理员负责接口和路由配置。

🛡️ 设备加固

• 定义：通过配置变更、禁用不必要服务、应用安全补丁和强化访问控制，减少设备攻击面。

• 主要措施：

  • 禁用未使用端口和服务：关闭闲置接口，停用不必要服务（如 Telnet）。

  • 应用安全配置：管理员账户使用复杂密码，启用管理会话加密（如 SSH）。

  • 配置审计：定期审查设备配置以确保合规，通过脚本或工具自动化审计流程。

📝 日志与监控

• 目标：检测管理访问是否被篡改，满足合规要求，记录关键事件（日期/时间、凭证、IP 地址、命令/配置、涉及设备）。

• 实施步骤：

  • 启用设备日志：捕获认证尝试、配置变更和可疑活动。

  • 集中日志存储：通过 Syslog 或 SNMP 陷阱发送至中央服务器，防止本地日志被篡改。

  • 集中日志管理：使用 SIEM 系统分析日志，利用AI识别跨设备攻击。

  • 实时监控与告警：对失败登录、未授权配置变更和异常行为设置告警，快速响应威胁。

📝 核心复习

1. 物理安全措施：防止未授权访问网络管理接口的关键措施是使用带锁的访问控制房间或安全机柜。

2. MFA 目的：在授予网络设备访问权限前要求多种验证形式。