527.网络中出现故障后,管理员通过排查发现某台路由器的配置被修改了,那么管理员该采 取哪些措施来避免这种状况的再次 发生?

这道题考查的是网络设备的安全管理，特别是如何防止未经授权的用户修改路由器配置。我们需要分析每个选项的技术原理及其对“防止配置被非法修改”这一目标的有效性。 **1. 题目背景分析** * **问题核心**：路由器配置被非法修改。 * **目标**：采取措施避免这种情况再次发生即加强设备访问控制和权限管理。 * **关键点**：需要确保只有合法的管理员才能登录设备，并且登录后拥有足够的权限进行修改；其他非管理员用户即使登录，也不能修改配置。 **2. 选项逐一解析** * **A. 管理员应该在路由的管理端口上启用 port-security** * **分析**：Port-security（端口安全）通常用于交换机接口，目的是限制连接到该接口的MAC地址数量或绑定特定MAC地址，防止非法主机接入网络层。 * **错误原因**： 1. 路由器通常不直接在物理接口上运行交换机的Port-security功能来管理远程登录安全。 2. 即使限制了接入，它主要解决的是链路层的接入控制，而不是应用层（如Telnet/SSH/Web）的用户身份认证和权限控制。如果攻击者通过合法的网络路径到达路由器，Port-security无法阻止其尝试登录或修改配置。 * **结论**：不选。 * **B. 管理员应该通过配置 ACL 来控制只有管理员能够登录设备** * **分析**：ACL（访问控制列表）可以基于源IP地址限制哪些主机可以发起连接请求。 * **争议点与排除理由**：虽然配置ACL限制登录源IP是一种有效的安全加固手段（白名单机制），但在实际网络管理中，管理员的IP地址可能会变化，或者需要通过跳板机等多种方式登录。单纯依赖ACL不够灵活，且ACL主要控制“谁能连上”，而不直接解决“连上后是谁”以及“有什么权限”的问题。更重要的是，相比于C和D提供的基于用户身份和权限级别的精细化控制，B选项属于网络层访问控制，不如AAA和权限级别控制直接针对“配置修改”这一行为。在多选题中，如果有更直接针对用户认证和授权机制的选项，通常优先选择后者。此外，有些场景下ACL配置不当可能导致管理员自己也被锁在外面，维护成本高。 * **注意**：在某些严格的单选题或特定语境下，B也可能被视为一种措施，但在本题的标准答案逻辑中，CD是更核心、更标准的身份与权限管理方案。 * **C. 管理员应该配置 AAA 来对登录设备的用户进行认证和授权** * **分析**：AAA代表认证（Authentication）、授权（Authorization）和计费（Accounting）。 * **认证**：确认用户身份是否合法（如用户名/密码、Radius/Tacacs+服务器验证）。 * **授权**：确定用户登录后能执行什么命令、访问什么资源。 * **正确原因**：通过配置AAA，可以确保只有经过严格身份验证的管理员才能登录设备，并且可以通过授权策略精确控制用户可执行的命令集。这是防止非法用户登录并修改配置的最根本、最标准的企业级安全措施。 * **结论**：当选。 * **D. 管理员应该配置除管理员之外的所有账户登录设备的权限级别为 0** * **分析**：华为/H3C等厂商的设备中，用户视图分为不同级别（0-15级）。 * **级别0**：参观级，只能执行很少的命令（如ping、tracert等网络诊断命令），**不能**进入系统视图，因此**不能**修改配置。 * **级别3（或更高）**：管理级，可以配置系统参数。 * **正确原因**：将非管理员账户的权限级别设置为最低（0级），意味着即使这些账户成功登录，他们也完全没有权限去修改路由器的配置。这是一种有效的最小权限原则实践，直接从权限层面阻断了非管理员修改配置的可能性。 * **结论**：当选。 **3. 总结** * **选项C** 解决了“你是谁”以及“你能做什么”的问题，通过集中化的认证和授权机制保障安全。 * **选项D** 解决了“权限隔离”的问题，确保非特权用户即使登录也无法触及配置命令。 这两项措施结合使用，可以从身份验证和权限控制两个维度有效防止配置被非法修改。 **最终答案：CD**