1. 项目概述：一次关于网络设备配置安全的深度复盘

最近在整理一个旧项目的复盘文档时，翻到了几年前处理过的一批锐捷交换机配置备份。当时一个偶然的发现让我惊出一身冷汗：在设备的运行配置（show running-config）里，竟然能看到一些本应被加密或隐藏的敏感信息，以明文形式“躺”在那里。这其中包括了用于远程管理的SNMP团体字（community string），甚至是一些经过特定方式“加密”后却又被显示出来的密码。这个现象，对于任何一位负责网络运维或安全审计的工程师来说，都是一个不容忽视的风险点。它意味着，任何一个能通过合法或非合法途径看到配置的人，都可能直接获取到设备的控制权限，进而渗透整个网络。

这个项目标题“锐捷交换机加密后的密码以及snmp团体字显示明文”，精准地概括了问题的核心。它不是一个简单的配置错误，而是涉及设备操作系统特性、配置命令的语义理解以及企业安全基线实践的复合型问题。无论是刚接触锐捷设备的新手，还是经验丰富的网络架构师，理解这个问题的成因、影响和解决方案，对于构建一个真正“防御纵深”的网络环境都至关重要。本文将从一个亲历者的角度，彻底拆解这个现象背后的技术原理、复现方法，并分享一套从发现到加固的完整实操指南。

2. 核心风险与原理深度解析

2.1 明文SNMP团体字：一个被低估的“后门”

简单网络管理协议（SNMP）是监控和管理网络设备的基石，但其早期版本（v1/v2c）的安全性非常薄弱。其认证机制仅依靠一个“团体字”，可以理解为访问设备的密码。在锐捷交换机以及其他许多厂商的设备上，使用snmp-server community命令配置团体字时，如果不显式指定加密或使用私有（private）模式，这个字符串就会以明文形式保存在配置文件中。

为什么这很危险？

1. 权限过高：一个只读（ro）团体字可以用来轮询设备的所有MIB信息，包括接口状态、路由表、ARP表等，足以绘制出精确的网络拓扑和资产清单。一个读写（rw）团体字则等同于拿到了设备的“遥控器”，可以修改接口状态、变更VLAN、甚至擦除配置。
2. 配置暴露：通过show running-config或备份的配置文件，攻击者可以轻易获取这个字符串。很多运维人员为了方便，会使用诸如public、private或公司名称等弱口令，使得爆破变得轻而易举。
3. 协议固有风险：SNMP v2c 协议本身是明文传输的，即使团体字在配置中加密，在网络中传输时依然可能被嗅探截获。

注意：很多安全扫描工具和内部审计条例，都会将明文SNMP团体字列为中高风险项。它往往是内网横向移动的起点。

2.2 “加密”密码的显示之谜：类型7与类型5的混淆

这是问题更隐蔽的部分。锐捷交换机（其CLI与思科高度相似）支持多种密码加密方式，最常遇到的是“类型7”和“类型5”。

• 类型7加密（可逆）：这是一种简单的Vigenère密码变种，安全性极低。其设计初衷并非为了防止破解，而是为了防止旁观者（如肩窥）直接看到密码。使用service password-encryption命令后，像enable password、line vty密码等会被加密为类型7。关键点在于：当你在配置模式下输入密码时，如果直接输入明文，设备会先将其转换为类型7密文再保存。但是，当你使用show running-config查看时，设备会“贴心地”将这个密文解密并显示出来。这才是“加密后的密码显示明文”这一诡异现象的根源——你看到的不是密文，而是设备实时解密后的结果。真正的密文需要进入特权模式后使用show startup-config或在配置文件中直接查看才能发现。
• 类型5加密（不可逆，MD5哈希）：用于enable secret命令。这是真正的单向哈希加密，配置中存储的是哈希值，show run时也只会显示这个哈希值（以$1$等开头），设备自身也无法反向解密。这才是推荐的安全做法。

混淆这两种类型，错误地认为service password-encryption能保护所有密码，是导致安全盲区的常见原因。

2.3 风险影响范围评估

这种配置泄露的影响是立体的：

1. 直接攻击面：攻击者获得SNMP读写团体字或特权密码，可直接控制设备。
2. 信息泄露：通过SNMP读团体字，可获取网络详细拓扑、设备型号、软件版本（用于寻找漏洞）、活动连接等敏感信息。
3. 权限提升：如果获取的是较低权限的密码，结合设备可能存在的本地漏洞，可能实现权限提升。
4. 横向移动：控制一台边缘交换机后，可以以此为跳板，向网络核心发起ARP欺骗、VLAN跳跃等攻击。
5. 合规性失败：在等保、PCI DSS等合规性检查中，明文密码和弱SNMP配置会导致严重扣分甚至一票否决。

3. 实操排查与验证：如何发现你的风险

光知道原理不够，我们必须能亲手复现和发现问题。以下是在锐捷交换机（以RG-S5750系列为例）上的排查步骤。

3.1 检查SNMP团体字配置

登录交换机，进入特权模式后，查看运行配置中的SNMP部分：

Ruijie# show running-config | include snmp-server community

或者更详细地查看：

Ruijie# show running-config | section snmp

风险判定：

• 如果输出类似snmp-server community public ro，那么public这个团体字就是明文，风险极高。
• 如果输出类似snmp-server community $HASH$ ro（这里$HASH$代表一串加密后的字符），则表示使用了某种加密或私有模式，风险相对较低，但需确认其强度。

3.2 检查各类密码的加密状态

1. 检查是否启用了密码加密服务：

   Ruijie# show running-config | include service password-encryption

   如果有输出，说明该命令已启用。但这只代表启用了类型7加密。

2. 查看特权密码：

   Ruijie# show running-config | include enable

   • 如果看到enable password 7 094F471A1A0A这类格式，并在show run时显示为明文密码，说明是类型7加密。
   • 如果看到enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0，说明是类型5 MD5加密，这是安全的。
   • 如果直接看到enable password myplainpassword，那就是完完全全的明文，极度危险。

3. 查看VTY线路密码：

   Ruijie# show running-config | section line vty

   检查password 7 ...或password 0 ...（0代表明文）。同样，类型7会在show run时显示明文。

3.3 使用配置文件深度分析

有时，在CLI中show run看到的内容可能因为设备实时解析而具有欺骗性。最可靠的方法是分析导出的配置文件文本。

1. 将配置导出到TFTP服务器或直接复制文本。
2. 在文本编辑器中搜索password、community、secret等关键字。
3. 重点观察：
   • password后面跟随的是否是可读的字符串。
   • snmp-server community后面跟随的是否是可读的字符串。

实操心得：不要依赖单一检查方法。结合CLI命令和离线配置文件分析，才能确保没有遗漏。我曾遇到过在CLI中因权限问题部分配置被隐藏，但在完整配置备份中风险项一览无余的情况。

4. 安全加固方案与配置指南

发现问题后，必须进行加固。以下是针对锐捷交换机的推荐安全配置步骤。

4.1 强化SNMP配置（迈向SNMPv3）

最根本的解决方案是弃用不安全的SNMPv2c，转而使用SNMPv3。SNMPv3提供了基于用户（User-Based Security Model, USM）的认证和加密。

配置示例：创建SNMPv3只读用户

Ruijie> enable Ruijie# configure terminal ! 创建SNMP组，设置安全级别为认证并加密（priv） Ruijie(config)# snmp-server group mygroup v3 priv ! 创建SNMP用户，关联到组，设置认证算法（SHA）和密码、加密算法（AES）和密码 Ruijie(config)# snmp-server user admin mygroup v3 auth sha MyAuthPass123 priv aes 128 MyEncryptPass456 ! 可选：配置只读视图 Ruijie(config)# snmp-server view myview 1 included ! 可选：将视图赋予组 Ruijie(config)# snmp-server group mygroup v3 priv read myview Ruijie(config)# end Ruijie# write memory

如果必须使用SNMPv2c（不推荐），则必须加密团体字并严格限制访问：

Ruijie(config)# snmp-server community MyComplexStr@2024 ro view default ! 使用复杂字符串 ! 或者使用私有模式加密（锐捷支持） Ruijie(config)# snmp-server community MyComplexStr@2024 private ro ! 务必配置ACL限制可访问SNMP的主机IP Ruijie(config)# ip access-list standard SNMP-ACL Ruijie(config-std-nacl)# permit host 10.1.1.100 ! 只允许监控服务器IP Ruijie(config-std-nacl)# deny any Ruijie(config-std-nacl)# exit Ruijie(config)# snmp-server community MyComplexStr@2024 ro SNMP-ACL

4.2 密码策略全面升级

1. 禁用脆弱的类型7加密，强制使用类型5（enable secret）：

   Ruijie(config)# no service password-encryption ! 先关闭，避免干扰 Ruijie(config)# enable secret YourStrongSecretPassword!2024

   enable secret命令自动使用类型5（MD5）加密，且优先级高于enable password。

2. 为VTY线路配置本地用户名和密码，并启用AAA认证（最佳实践）：

   ! 创建本地用户 Ruijie(config)# username admin privilege 15 secret AdminStrongPass!2024 ! 启用AAA认证，并指定登录使用本地数据库 Ruijie(config)# aaa new-model Ruijie(config)# aaa authentication login default local ! 配置VTY线路使用AAA认证 Ruijie(config)# line vty 0 4 Ruijie(config-line)# login authentication default Ruijie(config-line)# transport input ssh ! 强烈建议禁用Telnet，只启用SSH Ruijie(config-line)# exit

3. 配置SSH（如果尚未配置）：

   Ruijie(config)# hostname Switch-SiteA ! 设置主机名，生成密钥时需要 Ruijie(config)# ip domain-name yourdomain.local Ruijie(config)# crypto key generate rsa general-keys modulus 2048 ! 生成RSA密钥 Ruijie(config)# ip ssh version 2 ! 使用SSHv2 Ruijie(config)# line vty 0 4 Ruijie(config-line)# transport input ssh ! 确保VTY只允许SSH接入

4.3 辅助性安全配置

1. 加密配置文件本身：部分高端型号支持对存储在Flash中的配置文件进行加密。

   Ruijie(config)# config-register 0x2102 ! 确保配置寄存器正确 Ruijie(config)# service password-encryption ! 虽然对secret无效，但可以加密其他类型7密码 ! 查找是否支持类似`secure boot-config`或`archive encrypt`的命令

2. 启用配置更改告警与日志：

   Ruijie(config)# logging host 10.1.1.100 ! 配置日志服务器 Ruijie(config)# logging trap debugging ! 设置日志级别 Ruijie(config)# archive Ruijie(config-archive)# path flash:/config-archive Ruijie(config-archive)# write-memory ! 每次保存配置时自动归档

5. 常见问题与排查技巧实录

在实际操作中，你可能会遇到以下问题：

5.1 配置SNMPv3后，监控系统无法获取数据

• 问题现象：Zabbix、SolarWinds等监控平台配置了SNMPv3参数，但显示“超时”或“无数据”。
• 排查步骤：
  1. 检查用户参数：确保监控平台上配置的SNMPv3用户名、认证算法（SHA）、认证密码、加密算法（AES）、加密密码与交换机上配置的完全一致，包括大小写。
  2. 检查引擎ID：有些设备需要指定引擎ID（Engine ID）。在交换机上使用show snmp engineID查看，并尝试在监控端手动指定。
  3. 检查ACL：确认是否配置了snmp-server group ... access或接口上应用了IP ACL，阻止了监控服务器的访问。可以临时添加一个permit any的ACL进行测试。
  4. 使用本地测试：在交换机同网段的一台Linux服务器上，使用snmpwalk命令测试连通性，这是最直接的诊断方法。

     snmpwalk -v3 -l authPriv -u admin -a SHA -A MyAuthPass123 -x AES -X MyEncryptPass456 192.168.1.1 system

5.2 启用AAA后，本地用户无法登录

• 问题现象：配置了AAA和本地用户后，使用该用户名密码无法通过SSH或Console登录。
• 排查步骤：
  1. 检查特权级别：username admin privilege 15中的15是最高级别。如果设为较低级别，可能无法进入特权模式。
  2. 检查AAA方法列表：aaa authentication login default local中的default是方法列表名。确保VTY线路的login authentication调用的是同一个列表名（default）。
  3. Console线路单独配置：AAA配置可能默认应用于所有线路。如果Console也想用AAA，需要单独配置：

     Ruijie(config)# line console 0 Ruijie(config-line)# login authentication default

  4. 保留逃生通道：在应用AAA前，务必确保至少有一种方式（如另一个已登录的会话、带外管理）可以恢复配置。一个常见的做法是先配置一个本地用户并测试成功，再应用到所有线路。

5.3 如何批量处理现网大量设备

对于成百上千台设备，手动修改是不现实的。

1. 脚本化配置生成：使用Python或Ansible编写脚本，根据设备IP、角色生成对应的安全配置脚本（.cfg文件）。
2. 使用Expect或Paramiko进行自动推送：通过脚本自动登录设备，逐条推送配置命令。务必注意：要先在小范围测试，并做好配置回退方案。
3. 配置管理工具：引入如SolarWinds NCM、RANCID、Oxidized等工具，不仅可以批量推送，还能持续进行配置合规性审计，一旦发现明文密码或弱SNMP配置，立即告警。
4. 分阶段实施：先实施SNMPv3和密码策略，再逐步启用AAA和SSH，每一步都做好验证和回滚计划。

避坑技巧：在批量修改SNMP团体字前，一定要通知所有依赖SNMP的监控系统、网管平台的负责人，协调好变更窗口和参数更新流程。否则，可能会导致大规模监控中断，引发更严重的事件。

网络设备的安全绝非一劳永逸。这次对“锐捷交换机加密密码与SNMP明文显示”问题的深入探究，本质上是对网络运维基础安全的一次审视。它提醒我们，不能仅满足于功能实现，更要深究每一个配置命令背后的安全语义。将SNMPv2c升级到v3，用enable secret替代enable password，用AAA集中认证替代简单的线路密码，这些看似微小的调整，正是构筑网络安全防线的每一块坚实砖石。真正的安全，就藏在这些细节的严格执行与持续审计之中。