SSH、AAA 与管理 ACL

学完能做什么

使用具名账号、最小权限和来源限制保护网络设备管理面。

真实工作场景

设备仍允许共享管理员账号从所有用户 VLAN 登录，需要在不锁死现有运维通道的条件下整改。

前置知识

开始前应掌握以下知识：ACL 匹配顺序、CLI 视图与帮助。

核心概念

核心原理：身份认证回答谁在登录，授权限制能做什么，管理 ACL 限制从哪里登录，审计记录做了什么。

数据转发过程或状态变化

先建立并验证新具名账号，再限制 SSH 来源和权限，确认带外恢复路径后下线共享或明文访问。

最小示例

在隔离实验环境中只选择一个业务 VLAN、一个目标接口或一条测试路径完成“SSH、AAA 与管理 ACL”最小任务，记录变更前状态、操作和变更后输出。

验证方法

分别用允许来源、拒绝来源、正确权限和越权操作做正反例，检查在线会话与审计日志。

常见误区与故障

先应用拒绝规则再验证新账号会导致远程锁定；在示例中使用默认或弱口令会把教学配置变成安全风险。

小结

处理“SSH、AAA 与管理 ACL”时，应始终把业务目标、工作原理、设备状态、验证证据和回滚条件连成完整闭环。

随堂练习

完成题目后说明判断依据，并指出需要采集的设备证据。

• 管理 ACL 能否替代账号认证？
• 为什么应保留带外或 Console 恢复路径？
• 共享管理员账号会损失哪类审计能力？

关联命令、闯关和案例

从本文关联内容进入对应命令主题，完成一次受控模拟闯关，再在阶段案例中提交配置、验证和回滚记录。

下一步学习建议

完成本文后进入本阶段下一项命令辨识或闯关，使用“SSH、AAA 与管理 ACL”中的验证方法独立复核结果。