Trunk 加固清单
Trunk 是二层攻击面最集中的位置：放行列表过大等于把所有 VLAN 交出去，native VLAN 停留在 1 让未打标流量混入缺省 VLAN，DTP 自动协商可能被对端诱导成非预期模式，未用端口不关闭则任意插入的设备都能进入内网。加固的本质是把这几处的不确定性收敛掉。
基本信息
| 加固对象 | Trunk 链路、未使用端口、接入口的协议报文处理 |
|---|---|
| 放行原则 | 按业务最小化，不用 allow-pass all 图省事 |
| native / PVID | 改为专用未用 VLAN，业务不落在 VLAN 1 |
| 协商 | 关闭 DTP（Cisco switchport nonegotiate）固定 Trunk |
| 入口防护 | 接入口开启 BPDU 保护，防止伪造协议报文 |
典型使用场景
- 新建设备上线：按模板一次性完成 Trunk 加固
- 安全审计整改：按清单核实现网是否存在宽松放行
- 访客与办公网络隔离：确认放行范围不交叉
- 端口规划：未使用端口 shutdown 并划入隔离 VLAN
- 变更评审：新增 Trunk 时同步检查加固项是否落实
Cisco 关键命令
Cisco 关键命令
interface GigabitEthernet1/0/24
switchport mode trunk
switchport nonegotiate # 关闭 DTP 协商
switchport trunk native vlan 999 # native 改为专用 VLAN
switchport trunk allowed vlan 10,20 # 只放行需要的 VLAN
spanning-tree bpduguard enable # 接入口：收到 BPDU 即关闭接口
# 未使用端口
interface range GigabitEthernet1/0/10-20
shutdown # 关闭并划入隔离 VLAN
switchport access vlan 999加固项与目的
| 加固项 | 做法 | 防的是什么 |
|---|---|---|
| 最小放行 | 按业务列出放行 VLAN | 放行过宽导致跨业务可达 |
| native 专网 | 改为未使用的专用 VLAN | 未打标流量混入缺省 VLAN |
| 关闭协商 | switchport nonegotiate | 被诱导协商成非预期链路类型 |
| 未用端口关闭 | shutdown 并划入隔离 VLAN | 随意接入即获得内网访问 |
| 接入口防护 | BPDU 保护、端口安全 | 伪造协议报文干扰生成树 |
加固项要成批评估后再实施：单独改 native VLAN 而不回改对端，会直接造成对接中断，两端必须同步。
未使用端口不做 shutdown 与隔离时，任何能进机房的人插上网线就可能获得内网 VLAN 访问；这项在物理安全较弱的场景里优先级很高。