| 场景 | 新设备上线前的安全基线 |
|---|---|
| 适用 | 三厂接入交换机 |
| 建议 | 按清单逐项配置并留档，配置后逐条 display/show 核对 |
接入层加固项三厂命令对照
| 加固项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 边缘端口 | stp edged-port enable | spanning-tree portfast | stp edged-port |
| BPDU 保护 | stp bpdu-protection | spanning-tree bpduguard enable | stp bpdu-protection |
| 端口安全 | port-security enable | switchport port-security | port-security enable |
| DHCP Snooping | dhcp snooping enable | ip dhcp snooping | dhcp snooping enable |
| ARP 防护 | arp anti-attack check user-bind enable | ip arp inspection vlan N | arp detection enable |
| 风暴抑制 | storm-control broadcast min-rate | storm-control broadcast level | storm-constrain broadcast |
华为 VRP
华为 VRP
stp bpdu-protection # 全局 BPDU 保护
dhcp snooping enable # 全局开启，再按 VLAN 细化
interface GigabitEthernet0/0/1
stp edged-port enable # 接终端端口
port-security enable
port-security max-mac-num 3 # 华为关键字 max-mac-num
storm-control broadcast min-rate 1000 max-rate 5000思科 IOS
思科 IOS
spanning-tree portfast bpduguard default
ip dhcp snooping
ip dhcp snooping vlan 10
interface range GigabitEthernet0/1 - 20
switchport mode access
switchport port-security
switchport port-security maximum 3
switchport port-security violation restrictH3C Comware
H3C Comware
stp bpdu-protection # 全局 BPDU 保护
dhcp snooping enable # 全局开启，再按 VLAN 细化
interface GigabitEthernet1/0/1
stp edged-port # 接终端端口
port-security enable
port-security max-mac-count 3 # H3C 关键字 max-mac-count
storm-constrain broadcast pps 5000 1000差异：三家设备的默认安全状态都偏“开放”，加固必须逐项显式配置；上线前把这份清单作为验收表使用，可避免“只改了端口安全没配 BPDU 保护”这类漏项。