管理平面安全：ACL 限制指定 IP 才能 SSH/Telnet 登录交换机

wuyun

在交换机上通过ACL（访问控制列表）限制只有指定IP地址可以SSH/Telnet登录，是提升管理平面安全性的重要措施。以下是实现这一目标的详细步骤和注意事项：

### 1. **理解ACL的作用**
- **ACL（Access Control List）**：用于定义网络访问规则，控制数据包的转发或拒绝。
- **目标**：仅允许来自可信IP地址的SSH/Telnet连接，阻止其他所有IP的访问。

### 2. **配置步骤**

#### a. **创建ACL规则**
- **进入全局配置模式**：
  ```bash
  configure terminal
  ```
- **创建ACL并定义规则**（以Cisco IOS为例）：
  ```bash
  ip access-list extended MANAGEMENT_ACL  # 创建扩展ACL
   permit tcp <trusted_IP> <wildcard_mask> eq 22    # 允许指定IP通过SSH（端口22）
   permit tcp <trusted_IP> <wildcard_mask> eq 23    # 如果需要Telnet（端口23，不推荐）
   deny   tcp any any eq 22                          # 拒绝其他所有IP的SSH
   deny   tcp any any eq 23                          # 拒绝其他所有IP的Telnet
   permit ip any any                                 # （可选）允许其他流量（根据需求调整）
  ```
  **示例**：仅允许192.168.1.10访问SSH：
  ```bash
  ip access-list extended MANAGEMENT_ACL
   permit tcp host 192.168.1.10 any eq 22
   deny   tcp any any eq 22
   permit ip any any
  ```

#### b. **应用ACL到管理接口**
- **VTY线路（Telnet/SSH）**：
  ```bash
  line vty 0 4                  # 进入VTY配置模式（通常0-4或0-15）
   access-class MANAGEMENT_ACL in  # 应用ACL到入站方向
   transport input ssh          # （推荐）仅允许SSH，禁用Telnet
  ```
  - **关键点**：`transport input ssh` 确保仅SSH可用，增强安全性。

#### c. **保存配置**
  ```bash
  end
  write memory  # 或 copy running-config startup-config
  ```

### 3. **验证配置**
- **检查ACL应用情况**：
  ```bash
  show access-lists MANAGEMENT_ACL
  show running-config | include line vty
  ```
- **测试登录**：
  - 从允许的IP尝试SSH登录，应成功。
  - 从未允许的IP尝试，应被拒绝。

### 4. **注意事项**
- **最小权限原则**：仅允许必要的IP，避免使用通配符（如`0.0.0.0`）。
- **Telnet风险**：Telnet传输明文，建议禁用（通过`transport input ssh`）。
- **ACL顺序**：规则按顺序匹配，确保允许规则在拒绝规则之前。
- **备份配置**：修改前备份配置文件。
- **动态IP处理**：若管理IP动态变化，需结合动态DNS或定期更新ACL。

### 5. **其他厂商示例**
- **华为/H3C**：
  ```bash
  acl number 3000
   rule 5 permit tcp source 192.168.1.10 0.0.0.0 destination-port eq 22
   rule 10 deny tcp destination-port eq 22
  user-interface vty 0 4
   acl 3000 inbound
   protocol inbound ssh
  ```
- **Juniper**：
  ```bash
  set system services ssh access-address <trusted_IP>
  # 或通过防火墙过滤
  ```

### 6. **补充安全措施**
- **SSH密钥认证**：禁用密码登录，使用密钥对。
- **强密码策略**：如果使用密码，确保复杂度。
- **日志监控**：记录登录尝试，分析异常行为。
- **定期审计**：检查ACL规则是否仍适用。

通过以上步骤，您可以有效限制SSH/Telnet访问来源，显著提升交换机的管理安全性。