1. 安全至上：为什么Leaf-Spine架构需要独立的安全设计与Leaf-Spine拓扑架构
配置前的检查
Leaf-Spine拓扑架构凭借其高带宽、低延迟、易扩展的特性，已成为现代数据中心网络的事实标准。然而，当我们在Leaf-Spine中叠加EVPN-VXLAN实现Overlay网络时，传统网络的安全边界被打破——VXLAN隧道封装跨越了物理交换机边界，VTEP之间的BGP-EVPN会话暴露了控制平面的脆弱性。许多团队在追求性能的同时，忽略了安全加固，导致BGP路由劫持、VTEP欺骗、VXLAN泛洪攻击等风险频发。本文将聚焦安全加固角度，梳理实际部署中的关键避坑点。
Leaf-Spine拓扑架构：2. BGP-EVPN会话安全：从明文认证到MD5/TCP-AO
配置前的检查
在Leaf-Spine架构中，Spine作为Route Reflector，Leaf作为Route Client，EBGP或IBGP会话负责传递Type-2/Type-3/Type-5路由。默认配置下，BGP邻居认证往往是明文或未开启，攻击者一旦接入二层网络，即可伪造BGP报文注入虚假路由，导致流量被劫持。实战建议：强制启用BGP MD5认证或TCP-AO（认证选项），并配合TTL安全检查（EBGP多跳时设置ebgp-multihop TTL 1，IBGP设置ttl-security hops 1）。同时，限制BGP update-source为Loopback接口，避免物理接口暴露。在Cisco NX-OS中，配置示例：neighbor 10.0.0.1 password 0 cisco123，但生产环境应使用加密密码。更推荐TCP-AO，支持动态密钥滚动。
3. VTEP安全加固：阻止非授权设备发起VXLAN隧道
实际操作要点
VXLAN隧道端点是VTEP，每个Leaf交换机至少有一个VTEP IP。如果攻击者伪造VTEP IP并发送VXLAN封装报文，可能导致Overlay网络流量被篡改或注入恶意数据。加固措施包括：在VTEP所在VLAN启用IP Source Guard，基于DHCP Snooping绑定表过滤非授权IP；同时在Spine交换机上通过ACL限制VXLAN UDP端口（4789/8472）的源IP仅允许已知VTEP地址；另外，配置VTEP源接口不可路由（no ip redirects），防止ICMP重定向攻击。对于EVPN，还可以启用EVPN源IP校验（evpn source-interface check），确保收到的EVPN路由来源于正确的VTEP。
进阶阅读：此处可内链到“Leaf-Spine拓扑架构性能优化”指南。
4. BUM流量抑制与安全：防止VXLAN泛洪成为攻击通道
验证与回滚
EVPN-VXLAN默认使用IGMP/MLD Snooping和PIM实现BUM（广播、未知单播、组播）流量复制。但配置不当容易产生VXLAN泛洪风暴，甚至被用作DDoS放大攻击。安全加固要点：启用VXLAN泛洪抑制（Flood Suppression），通过ARP抑制（ARP Suppression）减少广播包；配置组播边界（Multicast Boundary）限制组播组范围；在Spine上使用PIM边界限制（ip pim border）防止组播泄漏。同时，建议对BUM流量进行速率限制：storm-control broadcast level 10。另外，将VXLAN的组播组地址规划为私有地址段（如239.0.0.0/8），并配合ACL拒绝来自外部的组播流量。
5. MAC与ARP安全：防止MAC飘移与ARP欺骗
验证与回滚
EVPN通过Type-2路由学习MAC，但攻击者可通过伪造MAC通告引发MAC飘移，导致流量被重定向。实战防坑：启用MAC移动保护（mac-address-table move-action），设置移动次数阈值并触发端口关闭；启用动态ARP检测（DAI），结合DHCP Snooping检查ARP报文合法性；同时启用IP Source Guard防止IP欺骗。对于EVPN-specific，可以配置MAC静默（silent-host），避免未主动通信的主机MAC被通告。另外，在Leaf交换机上实施端口安全，限制每个端口允许MAC数量，并设置粘性MAC。
关联教程：此处可内链到“Leaf-Spine拓扑架构部署与验证”内容。
6. 控制平面保护：CoPP与路由策略的精细管控
先看关键判断
Leaf-Spine架构下，BGP、IGMP、PIM等控制协议暴露于网络节点。攻击者可发送大量控制报文冲击CPU，导致网络震荡。必须启用控制平面保护（CoPP），将BGP、OSPF、IGMP等协议的rate-limit策略应用到控制平面ACL。例如：control-plane service-policy input CoPP-POLICY。同时，在EVPN场景中，需要限制BGP UPDATE报文的处理频率，并配置路由震荡衰减（route dampening）。另外，通过路由策略（Route Map）对EVPN路由进行过滤，仅允许预期的IP前缀和RT值，拒绝不信任的AS路径。例如，在Spine上设置inbound route-map，拒绝来自Leaf的扩展社区包含高风险RT值的路由。
补充参考：此处可内链到“Leaf-Spine拓扑架构故障排查实例”。
7. 安全运维：监控、日志与变更管理
验证与回滚
再好的配置也需要持续监控。建议部署NetFlow/sFlow分析VXLAN隧道流量基线，及时发现异常流量。开启VXLAN日志记录（vxlan-logging level info），并集中到SIEM系统。定期进行安全审计：检查BGP邻居状态、VTEP可达性、ARP抑制命中率。变更管理上，所有Leaf-Spine安全策略变更应通过自动化工具（如Ansible）批量下发，避免手动误操作。推荐建立安全配置基线（如CIS基准），并定期扫描合规性。最后，不要忘记Overlay与Underlay网络的双向隔离：通过VRF和防火墙将管理平面、存储平面、业务平面分离，避免安全事件横向移动。
总结：Leaf-Spine拓扑架构本身并不安全，安全是设计出来的。从EVPN-VXLAN的控制平面认证、VTEP源校验，到BUM流量抑制和MAC防欺骗，每一步都需要深思熟虑。本文列出的七个避坑点只是起点，实际部署中还需结合厂商特定功能和业务场景灵活调整。希望这些实战心得能帮你构建更稳固的数据中心网络。
延伸阅读