电信行业信息部工程师网络系统维护手册.docxVIP

电信行业信息部工程师网络系统维护手册

第1章网络架构与拓扑管理

1.1核心交换机与路由器配置规范

在核心交换机上，必须启用基于IP地址的MAC地址绑定（MAC-Binding）功能，将设备IP与MAC地址在设备生命周期内永久关联，防止非法设备接入或地址被篡改导致的安全风险。配置路由协议时，需将核心交换机设置为RPF（反向路径转发）检查模式，并严格限制直连路由的直连开销（DCE）为0，确保数据包在本地处理而非通过外部路由转发，提升转发效率。

对核心交换机进行安全加固时，必须关闭Telnet和FTP等远程管理协议，仅启用带外管理通道（如iDRAC或iLO），并限制管理员SSH访问密码复杂度至12位以上，包含大小写字母、数字及特殊符号。在路由器的接口配置中，必须实施基于MAC地址的端口控制（PortControl）策略，当检测到非授权MAC地址接入时，自动触发端口关闭或流量丢弃，阻断潜在攻击。配置DHCP服务时，需在核心交换机上开启DHCPSnooping功能，并绑定合法的DHCP服务器IP地址，同时配置端口安全限制，禁止非授权端口发起DHCP请求。

定期执行配置备份与恢复演练，将核心交换机的运行配置、启动配置及日志文件备份至异地存储，确保在发生硬件故障或勒索软件攻击时能快速恢复业务。

1.2