接入层安全加固清单

接入交换机最容易被漏配的安全项集中在六处：终端口设为边缘端口、开启 BPDU 保护、启用端口安全、开启 DHCP Snooping、启用 ARP 防护、配置风暴抑制。三家设备的默认状态都偏开放，这些功能全部需要显式配置才生效。把清单当成上线验收表逐项打勾，能避免只配了端口安全却漏掉 BPDU 保护这类漏项——而漏掉的那一项往往就是下次故障的入口。

基本信息

接入层加固项三厂命令对照

各加固项解决什么问题

• 边缘端口：终端口不做生成树收敛等待，插上网线立刻可用，但必须配合 BPDU 保护
• BPDU 保护：终端口收到生成树报文时立即关闭端口，防止私接交换机参与生成树形成环路
• 端口安全：限制端口能学到的 MAC 数量与身份，防私接与泛洪
• DHCP Snooping：只信任上联口的 DHCP 应答，防止私接服务器分发错误地址
• ARP 防护：依据绑定表校验 ARP 报文，抑制ARP欺骗导致的断网与流量劫持
• 风暴抑制：限制广播与组播速率，把环路或故障终端的影响限制在单端口范围内

华为 VRP

stp bpdu-protection                  # 全局 BPDU 保护
dhcp snooping enable                 # 全局开启，再按 VLAN 细化
interface GigabitEthernet0/0/1
 stp edged-port enable               # 接终端的端口
 port-security enable
 port-security max-mac-num 3
 storm-control broadcast min-rate 1000 max-rate 5000   # 单播加广播速率上限

思科 IOS

spanning-tree portfast bpduguard default
ip dhcp snooping
ip dhcp snooping vlan 10
interface range GigabitEthernet0/1 - 20
 switchport mode access
 spanning-tree portfast
 switchport port-security
 switchport port-security maximum 3
 switchport port-security violation restrict

H3C Comware

stp bpdu-protection                  # 全局 BPDU 保护
dhcp snooping enable                 # 全局开启，再按 VLAN 细化
interface GigabitEthernet1/0/1
 stp edged-port                      # 接终端的端口
 port-security enable
 port-security max-mac-count 3
 storm-constrain broadcast pps 5000 1000

配置与验收要点

• 边缘端口与 BPDU 保护必须成对配置，只设边缘端口会让私接设备引发的环路更容易扩散
• 接入端口建议统一批量下发，避免逐台手工配置造成标准不一
• DHCP Snooping 的信任端口只设在上联口，接入端口保持非信任状态，否则防护形同虚设
• ARP 防护依赖绑定表，绑定表来源可以是 DHCP Snooping 动态生成，也可能是手工配置
• 风暴抑制阈值要按端口实际业务量设定：设得过低会误伤正常广播，设得过高起不到限制作用
• 上线验收逐项回读运行配置与状态，检查表打勾再关闭工单

常见疑问

• 会不会影响终端上网：正确配置的加固项对正常终端无感知，出现异常通常是阈值或绑定表配置不当
• 无线 AP 端口要不要设成边缘端口：要，但数量上限与风暴阈值要按 AP 承载的终端规模放宽
• 服务器端口怎么处理：服务器口一般不设边缘端口，端口安全上限放宽或改用地址绑定
• 私接路由器还能不能断网：只做端口安全仍可能被私接设备用环路断网，必须叠加 BPDU 保护
• 加固后怎么验证有效：用测试终端模拟私接设备与异常报文，确认对应端口按预期动作