2、物理层安全加固：机房环境安全、设备物理访问控制、线缆防护与冗余设计
各位好，我是老周。今天咱们聊聊物理层安全。
很多人觉得物理层安全就是“锁好门、看好线”，没什么技术含量。说实话，我以前也这么想。直到有一次，我去一个客户现场做审计，发现他们的核心交换机就放在走廊角落里，连个机柜都没有，网线就那么耷拉着。我当时就问他：“你这机房是开放式的？”他说：“没事，我们这层楼有门禁。”结果我一看，门禁是坏的，用一张硬纸片就能捅开。
嗯，从那以后，我再也不敢小看物理层安全了。
物理层是网络的最底层，也是安全的第一道防线。如果物理层被攻破，上层再强的加密、再复杂的防火墙，都是白搭。你想想看，攻击者要是能直接拔掉你的光纤，或者在你的交换机上插个嗅探器，那你的数据还有什么秘密可言？
所以，这一章咱们就好好掰扯掰扯，物理层安全到底该怎么加固。
2.1 机房环境安全：别让你的设备“中暑”
机房环境，说白了就是给设备一个“舒服”的家。设备不舒服，它就会罢工，甚至“死给你看”。
温度与湿度控制
我个人习惯，机房温度控制在22±2℃，湿度在40%~60%。为什么是这个范围？因为温度太高，设备散热跟不上，芯片寿命会急剧缩短；温度太低，又容易产生冷凝水，导致短路。湿度太高，金属触点会氧化；湿度太低，静电就来了。
我在项目中遇到过一件事：一个客户的机房空调坏了，他们没当回事，觉得“忍两天就行”。结果第三天，核心路由器的电源模块直接烧了。后来拆开一看，电容都鼓包了。你说冤不冤？
防静电措施
静电是设备的隐形杀手。你可能感觉不到，但几千伏的静电放电，足以击穿芯片的栅极氧化层。
我建议，机房必须铺设防静电地板，所有人员进入机房必须穿防静电服、戴防静电手环。机柜也要接地，而且接地电阻要小于1欧姆。
防雷与接地
这个很多人容易忽略。专线网络通常跨区域，线缆会经过户外，雷击风险很高。
我曾经处理过一个故障：一场雷雨过后，整个分公司的网络全瘫了。排查下来，是户外光缆的金属加强芯没有做接地处理，雷电流直接灌进了交换机光模块，烧了三个端口。
所以，记住：所有进入机房的金属线缆（包括光缆的加强芯、网线的屏蔽层），都必须做防雷接地处理。机房的等电位接地网，更是不能省。
核心要点：
- 温度：22±2℃
- 湿度：40%~60%
- 接地电阻：<1Ω
- 防静电：地板、服装、手环
- 防雷：所有金属线缆入机房前做接地
2.2 设备物理访问控制：别让“闲杂人等”碰你的设备
设备放在机房里，不代表它就安全了。你得确保，只有授权的人才能碰到它。
机柜锁与门禁系统
这个听起来简单，但执行起来问题很多。我见过不少公司，机柜钥匙就挂在旁边墙上，或者门禁密码写在便利贴上。这跟没锁有什么区别？
我建议，机柜采用电子密码锁或指纹锁，并且定期更换密码。门禁系统要记录每一次开门记录，谁、什么时间、进了哪个机房，都要有日志。
Console口与USB口管理
设备的Console口，是直接管理设备的“后门”。如果被攻击者插上Console线，他就能直接进入配置模式。
我的做法是：所有设备的Console口，要么用物理锁锁住，要么直接禁用。如果必须保留，那就设置Console口密码，并且配置超时自动退出。
USB口也一样。很多设备支持通过U盘升级系统或导入配置。如果USB口不封住，攻击者插个带病毒的U盘，后果不堪设想。
避坑指南：
我曾经见过一个案例：某公司核心交换机上插着一个U盘，里面存着完整的网络拓扑图和所有设备的配置文件。问了一圈，没人知道是谁插的。后来查监控，发现是运维人员为了方便，把配置备份文件拷到U盘上，忘了拔。这要是被竞争对手拿到，整个网络就裸奔了。
设备上架与下架流程
设备上架、下架、维修，都要有严格的审批流程。不能随便一个人说“我换个设备”，就把旧设备搬走了。
我建议，建立设备资产台账，每一台设备都有唯一的资产编号。设备进出机房，必须登记，并且有专人陪同。
2.3 线缆防护与冗余设计：别让一根线毁了整个网络
线缆是网络的血管。血管断了，网络就瘫痪了。
线缆标识与整理
这个我深有体会。以前去一个客户机房，机柜后面线缆乱得像蜘蛛网。我问运维：“这根线是连哪里的？”他看了半天，说：“我查查。”然后他顺着线一根一根捋，捋了半小时才找到。
你说，这要是出了故障，等你找到线，业务早崩了。
所以，我要求所有线缆必须贴标签，标签上写明：源端设备、端口、对端设备、端口。而且标签要用防水、防油的材质，打印清晰。
线缆冗余设计
专线网络，最怕的就是单点故障。一根光纤断了，整个业务就断了。
我的做法是：关键链路必须做冗余。比如，核心到汇聚之间，至少拉两条物理路径不同的光纤。一条走A路由，一条走B路由。这样，就算A路由的光缆被挖断了，B路由还能顶上。
而且，冗余不能只是“有”，还要“能用”。我见过一些公司，冗余链路是拉了，但平时没测试过。等主链路断了，才发现备用链路的光模块是坏的。
小技巧：
我建议，每个月做一次冗余切换测试。在业务低峰期，手动断开主链路，观察备用链路是否自动切换，业务是否中断。测试完再恢复。这样，真出问题的时候，你心里才有底。
线缆防护
户外线缆，要穿管保护，埋地深度至少0.8米。如果条件允许，最好用铠装光缆，抗拉、抗压、抗鼠咬。
室内线缆，要走桥架或线槽，不要裸露在地面上。防止被踩踏、被桌椅压到。
另外，线缆的弯曲半径要注意。光纤的弯曲半径不能小于光缆外径的20倍，否则会损耗增大，甚至断纤。
2.4 知识体系结构图
下面这张图，是我梳理的物理层安全加固的核心逻辑。你可以把它当作一个检查清单，做物理层安全审计的时候，对着看就行。
2.5 总结与建议
物理层安全，说白了就是三件事：管好环境、管好设备、管好线缆。
环境方面，温湿度、静电、雷击，一个都不能少。
设备方面，Console口、USB口、机柜锁，都要管住。
线缆方面，标识清楚、冗余设计、定期测试，才能确保万无一失。
我做了这么多年网络，见过太多因为物理层疏忽导致的重大故障。有些是人为的，有些是环境导致的。但归根结底，都是因为“觉得没事”或者“懒得管”。
记住：网络安全，没有小事。物理层安全，更是如此。
我的个人习惯：
每次做完一个项目，我都会亲自去机房转一圈。看看机柜锁有没有锁好，看看线缆标签有没有脱落，看看空调出风口有没有对着设备直吹。这些细节，往往就是安全的关键。
公众号:蓝海资料掘金营，微信deep3321