对一个网络安全情况进行评估，就是要关注哪个地方是最脆弱的。


针对一个二层交换环境，最不安全的就是接入层的交换机


二层交换安全：


1、con口登入密码


  line con 0

  login

  password cisco


2、vty线下密码


  line vty 0 935

  login

  password cisco


3、enable密码


  enable password cisco

  enable secret cisco


4、将配置文件的明文密码加密


  service password-encryption之后的明文密码都将被加密


  no service password-encryption 之前已加密将保持原样


  后续的明文密码将不被加密


MD5是一种加密算法不可逆，不等长输入，等长输出的散列函数，输出长度为128位


SHA-1是比MD5更安全的散列函数，长度为160位


5、提供相关登陆的banner信息，提示用户


6、远程登陆尽量使用SSH，而非telnet


7、端口安全port-security

 switchport port-security 端口安全开启开关

 switchport port-security mac-address mac_addree/sticky 端口怎样记录mac地址

 switchport port-security  maximum num                  端口最大MAC地址记录数

 switchport port-security violation shutdown/restrict/protect  端口安全的惩罚机制

 当端口变成errdisable的话，有两种方式可以恢复：


 1、先shutdown ,后no shutdown


 2、使用errdisable recovery cause psecure自动恢复


 3、设置恢复间隔errdisable recovery interval 30 30秒自动恢复


port-security默认的惩罚机制是shutdown ,也就是让端口errdisable


protect就是简单的丢弃，而restrict丢弃并生成日志发送


部署端口安全工程建议：连接服务器的端口使用静态手工绑定MAC地址，而普通的用户PC


使用sticky粘滞功能获得并绑定用户PC的MAC地址