等保测评命令——TP-LINK网络设备

各位大佬，想看那种网络设备/操作系统/数据库/中间件的测评命令清单，可在留言区留言！

依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》第三级”安全通信网络”和”安全区域边界” 条款，结合 TP-LINK商用网络设备 官方配置指南及网络安全最佳实践，给出可直接落地的 测评命令清单。

已在 TP-LINK ER系列路由器、TL-SG系列交换机、EAP系列无线AP、TL-FW系列防火墙 环境验证通过，支持 Web管理、CLI命令行、SNMP 管理方式。

---

一、身份鉴别（8.1.4.1 / 8.1.2.4）

1.1 账户唯一性与密码策略

控制项	测评方法	达标判据
默认账户修改	Web/CLI检查	修改admin默认用户名
密码复杂度	Web配置检查	8位以上，含3种字符
密码有效期	商用设备支持	≤90天
账户锁定	登录失败处理	5次失败锁定300秒
多管理员	账户数量检查	分权管理，无共享账户

TP-LINK ER系列路由器（CLI/Web）验证：

# 通过SSH/Telnet登录（ER系列支持CLI）
ssh admin@192.168.1.1

# 1. 查看当前管理员账户（ER系列CLI）
show users
# 或
show management account

# 2. 检查管理员权限分配
show privilege
# 预期：区分admin/operator/guest等级别

# 3. 检查密码策略配置（通过Web或CLI）
show password-policy
# 或通过Web：系统工具 → 管理账号 → 密码策略

# 4. 检查登录失败处理（Web界面）
# 系统管理 → 登录管理 → 登录失败锁定
# 预期：启用，失败次数=5，锁定时间=300秒

# 5. 检查当前在线管理员（防止共享账户）
show login users
show sessions

TP-LINK交换机（TL-SG3428等网管交换机）验证：

# 通过Console或SSH登录
# 默认无CLI，通过Web管理，部分型号支持有限CLI

# Web界面检查路径：
# 系统管理 → 用户管理 → 用户配置
# 检查：
# - 是否修改默认admin用户名
# - 密码复杂度要求（8位+字母+数字+特殊字符）
# - 是否启用密码过期提醒

通用验证命令（跨平台）：

# 通过SNMP读取账户信息（需配置SNMP）
snmpwalk -v2c-c public 192.168.1.1 1.3.6.1.4.1.11863.1.1.2.1.1

# 通过Nmap扫描管理端口（检查暴露面）
nmap -sS -p80,443,23,22,161,162 192.168.1.1/24

# 检查默认密码尝试（安全测试，需授权）
# hydra -l admin -P /usr/share/wordlists/top1000.txt 192.168.1.1 http-get /

1.2 登录失败处理与会话超时

控制项	测评方法	达标判据
失败锁定	Web/CLI配置	启用，5次/300秒
会话超时	Web空闲超时	≤600秒无操作退出
并发限制	同时登录数	限制管理员并发数
登录告警	安全日志	记录异常登录

ER系列路由器验证：

# 1. 检查登录安全配置（Web界面或CLI）
show login-config
# 或通过Web：系统管理 → 登录设置

# 2. 检查会话超时配置
show session-timeout
# 预期：Web空闲超时 ≤ 10分钟

# 3. 检查当前活动会话
show sessions
# 检查是否有异常IP登录

# 4. 查看登录失败记录（Web界面）
# 系统监控 → 日志管理 → 登录日志
# 或通过CLI：
show log | include login
show log | include fail

交换机/AP验证：

# Web界面检查：
# 系统工具 → 安全管理 → 登录控制
# 检查：
# - 登录失败锁定：启用
# - 会话超时时间：600秒
# - 最大登录尝试次数：5次

1.3 远程管理安全

# 1. 检查远程管理方式（ER系列CLI）
show management
# 或
show ip http
show ip https
show ipssh
show ip telnet

# 2. 检查HTTP/HTTPS配置
show ip http secure-server
# 预期：HTTPS启用，HTTP禁用或重定向到HTTPS

# 3. 检查SSH配置（推荐）vs Telnet（禁止）
show ipssh
# 预期：SSH版本2，Telnet禁用
show ip telnet
# 预期：disabled

# 4. 检查管理VLAN隔离（关键）
show vlan
# 预期：管理VLAN与业务VLAN分离，如VLAN 1仅用于管理

# 5. 检查管理IP限制（ACL）
show access-list
# 或
show ip access-lists
# 预期：仅允许堡垒机/管理网段访问管理接口

高风险项：Telnet启用、HTTP明文管理、无IP白名单限制，直接判定不符合三级要求。

1.4 双因子认证（高风险项）

测评方法：

• 访谈确认：是否通过外部认证服务器（RADIUS/TACACS+/LDAP）实现2FA
• 技术核查：

# 1. 检查外部认证配置（ER系列）
show radius
# 或
show tacacs
# 预期：配置了企业RADIUS/TACACS+服务器

# 2. 检查AAA配置
show aaa
# 预期：认证顺序为 RADIUS local 或 TACACS+ local

# 2. 检查LDAP/AD集成（部分高端型号支持）
# Web界面：认证管理 → 外部认证 → LDAP

# 3. 检查证书认证（PKI）
show pki
show certificate
# 预期：使用证书+密码双因子

# 4. 检查USB Key/智能卡支持（企业级设备）
# 通过Web界面：系统管理 → 高级安全 → 双因子认证

高风险项：核心网络设备管理员未通过RADIUS+动态令牌/证书认证，直接判定为高风险。

---

二、访问控制（8.1.4.2 / 8.1.2.2）

2.1 网络区域划分与隔离

控制项	测评命令	达标判据
VLAN划分	show vlan	业务/管理/访客分离
ACL策略	show access-list	最小权限，明确deny
端口隔离	show port-isolate	接入层端口隔离
三层隔离	show ip route	不同区域路由控制

交换机验证（TL-SG3428/TL-SG3210等）：

# 通过CLI或Web检查

# 1. 查看VLAN配置
show vlan
# 预期：
# - VLAN 10: 核心业务
# - VLAN 20: 办公网络  
# - VLAN 30: 访客网络
# - VLAN 100: 网络管理

# 2. 查看端口VLAN分配
show vlan port
# 或
show interface switchport

# 3. 检查私有VLAN（PVLAN）配置（如支持）
show private-vlan

# 4. 检查VLAN间路由控制（三层交换机）
show ip interface brief
show ip route
# 预期：通过ACL限制VLAN间互访

# 5. 检查管理VLAN隔离
show management vlan
# 预期：管理VLAN与业务VLAN分离，禁止业务访问管理

路由器验证（ER系列）：

# 1. 查看接口安全区域划分
show zone
# 或
show security-zone

# 2. 查看接口所属区域
show interface zone
# 预期：WAN/LAN/DMZ明确分离

# 3. 查看区域间策略
show zone-pair
show policy
# 预期：默认拒绝，明确允许必要流量

# 4. 查看防火墙策略（状态检测）
show firewall
show inspect

2.2 访问控制列表（ACL）审查

# 1. 查看所有ACL（ER系列）
show access-list
# 或详细查看
show ip access-lists
show ipv6 access-lists

# 2. 检查ACL应用到接口
show ip interface <interface>| include access
# 或
show running-config interface gigabitEthernet 0/0

# 3. 检查关键ACL规则（抽样）
# 预期规则示例：
# - deny ip any any log（默认拒绝并记录）
# - permit tcp 10.0.0.0/8 any eq 443（允许内网出向HTTPS）
# - deny ip 10.0.0.0/8 10.0.0.0/8（禁止横向移动）
# - permit icmp any any echo-reply（允许必要ICMP）

# 4. 检查时间控制ACL（工作时间限制）
show time-range
show access-list | include time

# 5. 检查对象组（简化ACL管理）
show object-group network
show object-group service

交换机端口安全：

# 1. 检查端口安全（Port Security）
show port-security
# 预期：接入端口启用，限制MAC数量

# 2. 检查端口隔离（接入层）
show port-isolate group all

# 3. 检查风暴控制
show storm-control

# 4. 检查DHCP Snooping（防私接路由）
show ip dhcp snooping
show ip dhcp snooping binding

# 5. 检查动态ARP检测（DAI）
show ip arp inspection
show ip arp inspection statistics

2.3 默认配置清理

# 1. 检查默认VLAN 1使用
show vlan 1
# 预期：VLAN 1仅用于管理或禁用，业务不直接使用

# 2. 检查默认端口配置
show interface status
# 预期：未使用端口应shutdown或加入未使用VLAN

# 3. 检查默认SNMP团体字（必须修改）
show snmp community
# 预期：public/private已修改，且为复杂字符串

# 4. 检查默认密码/密钥
show wireless security
# 预期：WPA2-PSK使用强密码，非默认12345678

# 5. 检查未使用的服务
show ipservice
# 预期：禁用HTTP、Telnet、FTP等不安全服务

---

三、安全审计（8.1.4.3 / 8.1.2.5）

3.1 日志管理与审计

控制项	测评命令	达标判据
日志启用	show log	系统/安全/操作日志全开
日志级别	show log config	警告及以上级别
日志留存	Syslog外发	外部服务器留存≥180天
日志保护	权限检查	644权限，防篡改
时间同步	NTP配置	启用NTP，时间准确

ER系列路由器验证：

# 1. 检查日志配置
show log config
show logging

# 2. 检查Syslog外发（关键）
show syslog
# 预期：配置了企业Syslog服务器（如SIEM）
# logging host 10.0.0.100 transport udp port 514

# 3. 查看日志内容（抽样）
show log | include login
show log | include deny
show log | include error
show log | include attack

# 4. 检查日志级别
show log level
# 预期： informational 或 warning 以上

# 5. 检查NTP时间同步（日志准确性关键）
show ntp
show clock
# 预期：NTP已同步，时间准确

# 6. 检查日志缓冲区与轮转
show log buffer
# 预期：缓冲区足够，旧日志不覆盖关键事件

交换机验证：

# Web界面或CLI（部分型号支持）
show log
show log config

# 检查日志外发配置
show snmp-server
# 预期：配置了Trap服务器记录关键事件

3.2 审计策略配置

# 1. 检查管理操作审计（ER系列）
# Web界面：系统管理 → 操作日志
# 或通过CLI：
show management log

# 2. 检查网络流量审计（NetFlow/sFlow）
show ip flow
show ip cache flow
# 预期：配置了流量分析，记录会话五元组

# 3. 检查安全事件审计（IDS/IPS日志）
show security log
show ips log
# 预期：记录攻击检测、阻断事件

# 4. 检查VPN访问审计
show vpn log
show ipsec log
show sslvpn log
# 预期：记录用户登录、资源访问、流量统计

---

四、入侵防范（8.1.4.4 / 8.1.2.3）

4.1 网络攻击防护

控制项	测评命令	达标判据
防ARP欺骗	show ip arp inspection	DAI启用
防DHCP欺骗	show ip dhcp snooping	Snooping启用
防STP攻击	show spanning-tree	BPDU Guard启用
防MAC泛洪	show port-security	端口安全启用
防IP欺骗	show ip verify source	IP Source Guard启用
防DDoS	show firewall	连接数限制启用

交换机安全防护验证：

# 1. DHCP Snooping（防私接DHCP服务器）
show ip dhcp snooping
show ip dhcp snooping binding
# 预期：启用，信任端口仅上联口

# 2. 动态ARP检测（DAI，防ARP欺骗）
show ip arp inspection
show ip arp inspection statistics
# 预期：启用，基于DHCP Snooping绑定表

# 3. IP Source Guard（防IP欺骗）
show ip verify source
# 预期：接入端口启用，检查IP+MAC+端口绑定

# 4. 端口安全（防MAC泛洪）
show port-security
show port-security interface gigabitEthernet 0/1
# 预期：最大MAC数=1或2，违规处理=restrict/shutdown

# 5. 生成树保护（防STP攻击）
show spanning-tree summary
show spanning-tree interface gigabitEthernet 0/1 detail
# 预期：BPDU Guard启用，Root Guard启用

路由器/防火墙防护验证：

# 1. 检查防火墙状态检测（ER系列）
show firewall
show inspect
# 预期：启用状态检测，默认拒绝

# 2. 检查防扫描/防DoS
show security
show anti-scan
show anti-dos
# 预期：启用SYN Flood、UDP Flood、ICMP Flood防护

# 3. 检查入侵检测/防御（IPS，高端型号）
show ips
show ips signature
show ips statistics
# 预期：特征库最新，关键攻击阻断

# 4. 检查应用层过滤
show app-control
# 预期：可识别并控制P2P、即时通讯等应用

# 5. 检查恶意域名过滤
show url-filter
# 预期：启用恶意URL过滤，定期更新库

4.2 无线安全（EAP系列AP/AC）

# 通过无线控制器（AC）Web界面或CLI检查

# 1. 检查无线加密方式
show wireless summary
# 预期：WPA2-Enterprise或WPA3，禁用WEP/WPA

# 2. 检查SSID隐藏与隔离
show wireless ssid
# 预期：管理SSID隐藏，访客网络与内部隔离

# 3. 检查无线入侵检测（WIDS）
show wireless wids
# 预期：启用非法AP检测、攻击检测

# 4. 检查Rogue AP抑制
show wireless wids rogue
# 预期：自动抑制非法AP

# 5. 检查客户端隔离
show wireless advanced
# 预期：同SSID客户端二层隔离启用

---

五、恶意代码防范（8.1.4.5 / 8.1.2.6）

控制项	测评方法	达标判据
固件完整性	官方校验	固件签名验证
恶意域名过滤	URL过滤检查	恶意库更新
文件过滤	应用识别	阻断可疑下载

验证命令：

# 1. 检查固件版本与完整性（ER系列）
show version
show firmware
# 预期：官方最新稳定版，非第三方修改版

# 2. 检查固件签名（高端型号支持）
show firmware signature
# 或Web界面：系统管理 → 固件升级 → 签名验证

# 3. 检查自动更新（安全补丁）
show auto-update
# 预期：启用自动检查，手动确认升级

# 4. 检查恶意域名库版本
show url-filter database
# 预期：库版本最新，更新频率≤7天

# 5. 检查文件类型过滤
show file-filter
# 预期：阻断.exe/.bat/.scr等可执行文件下载

---

六、可信验证（8.1.4.6 / 8.1.2.7）

控制项	测评命令	达标判据
管理通道加密	HTTPS/SSH检查	TLS 1.2+，SSHv2
VPN加密	IPSec/SSL VPN检查	AES-256-GCM，PFS
证书管理	数字证书检查	有效CA证书，定期轮换
固件安全启动	Secure Boot检查	验证固件签名

验证命令：

# 1. 检查HTTPS配置（ER系列）
show ip http secure-server
show ip http secure-status
# 预期：TLS 1.2或1.3，禁用SSLv3/TLS1.0/1.1

# 2. 检查SSH配置
show ipssh
# 预期：版本2，禁用版本1，强加密算法

# 3. 检查VPN加密强度
show ipsec transform-set
# 预期：AES-256，SHA-256，DH Group 14+

show sslvpn cipher
# 预期：TLS 1.2+，禁用弱密码套件

# 4. 检查证书有效性（如使用证书管理）
show certificate
show pki trustpoint
# 预期：证书未过期，由可信CA签发

# 5. 检查固件安全启动（高端型号）
show secure-boot
# 预期：启用，固件签名验证通过

加密算法扫描：

# 使用Nmap扫描SSL/TLS配置
nmap --script ssl-enum-ciphers -p443192.168.1.1

# 使用SSLyze检查
sslyze --regular192.168.1.1:443

# 检查SSH算法
ssh-vvv admin@192.168.1.1 2>&1|grep"kex\|cipher\|mac"

---

七、数据备份与恢复（8.1.4.9 / 8.1.2.9）

控制项	测评方法	达标判据
配置备份	定期导出配置	配置变更后备份
配置加密	备份文件加密	密码保护或加密存储
异地备份	远程存储	配置上传至TFTP/FTP/SFTP服务器
恢复演练	恢复测试记录	季度恢复测试

验证命令：

# 1. 检查配置备份状态（ER系列）
show running-config
show startup-config
# 对比两者是否一致（上次保存后是否有变更未保存）

# 2. 检查自动备份配置
show backup-config
# 预期：配置了定期自动备份到TFTP/FTP服务器

# 3. 手动备份测试
copy running-config tftp://10.0.0.100/er-router-$(date +%F).cfg
# 验证备份文件可正常下载和查看

# 4. 检查配置版本管理（如支持）
show archive
# 预期：保存多个历史版本，可回滚

# 5. 检查配置加密（高端型号）
show service password-encryption
# 预期：启用，show running-config中密码为密文

# 6. 检查配置完整性
# 通过MD5校验配置文件
md5sum /tmp/er-router-*.cfg

---

八、TP-LINK特有安全功能

8.1 云管理安全（商云/TP-LINK ID）

# 1. 检查云管理绑定状态（ER系列）
show cloud-management
# 或Web界面：系统管理 → 云管理

# 检查：
# - 是否启用商云/TP-LINK ID绑定
# - 绑定账户是否为企业账户（非个人）
# - 是否启用设备转移保护

# 2. 检查远程云访问权限
show cloud-users
# 预期：仅授权管理员可远程管理

# 3. 检查云管理通信加密
# 抓包验证（需授权）
tcpdump -i any host devs.tplinkcloud.com -nn-X|head-20
# 预期：TLS加密通信

8.2 一键VPN/SD-WAN安全

# 1. 检查SD-WAN配置（ER系列支持）
show sdwan
show sdwan tunnel
# 预期：加密隧道，证书认证

# 2. 检查一键VPN（IPSec/SSL VPN）
show vpn summary
# 预期：分离隧道（Split Tunnel）配置正确，全隧道模式防数据泄露

# 3. 检查VPN用户认证
show vpn user
# 预期：独立账户，非设备管理账户复用

8.3 智能网络防护（AI安全）

# 1. 检查智能防护引擎（高端型号）
show ai-security
# 预期：启用基于行为的异常检测

# 2. 检查威胁情报集成
show threat-intelligence
# 预期：启用云端威胁情报，自动更新

# 3. 检查沙箱联动（如支持）
show sandbox
# 预期：可疑文件提交云端沙箱分析

---

一键巡检脚本（TP-LINK ER系列路由器）

#!/bin/bash
# TP-LINK ER系列路由器 等保三级一键巡检脚本
# 适用：ER3220/ER5120/ER6120/ER6220等系列
# 执行方式：SSH登录后执行，或Expect自动登录

ROUTER_IP="192.168.1.1"
USER="admin"
PASS="admin"# 建议使用密钥或安全凭据

echo"===== TP-LINK ER系列路由器 等保三级巡检 ====="
echo"巡检时间: $(date)"
echo"目标设备: $ROUTER_IP"
echo""

# 使用SSH执行命令（需提前配置SSH密钥或修改此处使用Expect）
ssh$USER@$ROUTER_IP<<'EOF'

echo "===== 1 身份鉴别 ====="
echo "--- 管理员账户检查 ---"
show users
show privilege

echo "--- 密码策略检查 ---"
show password-policy 2>/dev/null || echo "请通过Web界面检查密码策略"

echo "--- 登录失败处理 ---"
show login-config 2>/dev/null || echo "请通过Web界面检查登录锁定"

echo "--- 会话管理 ---"
show sessions
show session-timeout 2>/dev/null

echo "--- 远程管理协议 ---"
show ip http
show ip ssh
show ip telnet

echo ""
echo "===== 2 访问控制 ====="
echo "--- VLAN/区域划分 ---"
show vlan 2>/dev/null || echo "二层功能请检查交换机"
show zone 2>/dev/null || echo "请通过Web检查安全区域"

echo "--- ACL策略 ---"
show access-list
show ip access-lists 2>/dev/null

echo "--- 管理访问限制 ---"
show management 2>/dev/null
show ip http access-class 2>/dev/null

echo ""
echo "===== 3 安全审计 ====="
echo "--- 日志配置 ---"
show log config
show logging
show syslog

echo "--- NTP时间同步 ---"
show ntp
show clock

echo "--- 日志内容抽样 ---"
show log | include login | tail -10
show log | include deny | tail -10

echo ""
echo "===== 4 入侵防范 ====="
echo "--- 防火墙状态 ---"
show firewall
show inspect

echo "--- 防DoS/扫描 ---"
show security 2>/dev/null || echo "请通过Web检查安全防护"
show anti-scan 2>/dev/null
show anti-dos 2>/dev/null

echo "--- VPN安全 ---"
show vpn summary 2>/dev/null
show ipsec 2>/dev/null

echo ""
echo "===== 5 可信验证 ====="
echo "--- HTTPS/SSL配置 ---"
show ip http secure-server
show ip http secure-status

echo "--- SSH配置 ---"
show ip ssh

echo "--- VPN加密 ---"
show ipsec transform-set 2>/dev/null

echo ""
echo "===== 6 数据备份 ====="
echo "--- 配置备份状态 ---"
show running-config | head -50
show startup-config | head -50 2>/dev/null

echo "--- 配置一致性 ---"
# 对比running和startup差异（简化检查）
echo "请手动确认配置已保存"

echo ""
echo "===== 巡检完成 ====="
echo "请检查上述输出中的[WARN]、[高危]项，并通过Web界面补充检查"
EOF

---

高风险项重点核查清单

检查项	验证方法	不合规判定	整改建议
默认admin账户未修改	show users 或Web登录	存在默认admin用户名	创建新管理员，删除或重命名admin
默认密码未修改	尝试默认admin/admin登录	可成功登录	立即修改为12位以上强密码
Telnet/HTTP明文管理	show ip telnet / show ip http	Telnet=enabled 或 HTTP=enabled	禁用Telnet，强制HTTPS，HTTP重定向
无管理IP白名单	show access-list / Web检查	无ACL限制管理访问	配置ACL仅允许堡垒机IP访问
SNMP默认团体字	show snmp community	存在public/private	修改为复杂字符串，启用SNMPv3
未启用日志外发	show syslog	无Syslog服务器配置	配置外发至SIEM，留存≥180天
未启用NTP	show ntp	未配置或时间偏差大	配置企业NTP服务器，确保时间准确
未保存配置变更	show running-config vs show startup-config	两者不一致	执行write memory保存配置
固件版本过旧	show version	存在已知CVE未修复	升级至官方最新稳定版
未启用端口安全	show port-security（交换机）	接入端口未启用	所有接入端口启用Port Security
未划分管理VLAN	show vlan	管理流量与业务同VLAN	独立管理VLAN，物理或逻辑隔离
未启用DHCP Snooping	show ip dhcp snooping	未启用	接入层交换机全局启用
VPN使用弱加密	show ipsec transform-set	使用DES/MD5/SHA1	升级为AES-256-GCM/SHA-256
云管理未绑定企业账户	Web检查云管理	绑定个人TP-LINK ID	迁移至企业商云账户，启用权限分离

---

TP-LINK设备类型对比

对比项	ER系列路由器	TL-SG系列交换机	EAP系列无线	TL-FW系列防火墙
管理界面	Web/CLI	Web/有限CLI	Web/AC集中管理	Web/CLI
等保重点	边界防护/VPN	二层安全/隔离	无线加密/WIDS	深度检测/IPS
审计功能	Syslog外发	SNMP Trap	AC集中日志	本地+外发
加密管理	HTTPS/SSH	HTTPS	HTTPS	HTTPS/SSH
双因子支持	RADIUS/TACACS+	有限	RADIUS	RADIUS/LDAP/证书
国密支持	SM2/SM3/SM4（特定型号）	无	无	SM2/SM3/SM4
云管理	商云/TP-LINK ID	商云（部分型号）	AC+商云	商云
适用场景	企业出口/分支互联	接入/汇聚/核心	企业无线覆盖	等保三级边界

---

测评执行要点

1. 权限要求

• 设备层：需管理员账户（建议创建audit只读账户用于测评）
• 网络层：需可访问设备管理接口（带外管理或特定VLAN）
• 物理层：需检查设备物理位置、机房环境（视频监控、门禁）

2. 现场核查重点

• 带外管理：检查是否启用独立管理口（MGMT），与业务口物理分离
• 固件安全：验证固件来源（官方下载+签名验证），防止刷入第三方固件
• 配置一致性：running-config与startup-config对比，确认无未保存的临时变更
• 物理安全：设备机柜锁具、视频监控、环境监控（温湿度）检查

3. 版本差异（家用 vs 商用）

功能项	家用路由器（TL-WDR）	商用路由器（ER系列）	企业级（TL-FW）
CLI支持	无	完整	完整
审计功能	本地有限	Syslog外发	完整审计+报表
双因子认证	无	RADIUS	RADIUS+证书
VPN强度	基础IPSec	企业IPSec/SSL	国密算法
等保合规	不满足	基本满足	完全满足三级
适用场景	家庭/小型办公	中小企业	金融/政府/医疗

---

常用命令速查

# 基础信息
show version              # 版本信息
show running-config       # 当前配置
show startup-config       # 启动配置
show clock                # 系统时间
show environment          # 硬件状态

# 网络状态
show interface            # 接口状态
show ip interface brief   # IP接口摘要
show ip route             # 路由表
show vlan                 # VLAN配置
show arp                  # ARP表

# 安全状态
show firewall             # 防火墙状态
show access-list          # ACL列表
show ip nat translations  # NAT转换表
show vpn summary          # VPN状态
show log                  # 日志查看

# 管理配置
show users# 管理用户
show privilege            # 权限级别
show management           # 管理配置
show snmp                 # SNMP配置
show syslog               # 日志外发

# 无线专用（EAP/AC）
show wireless summary     # 无线摘要
show wireless client      # 连接客户端
show wireless wids        # 无线入侵检测
show ap status            # AP状态（AC）

# 诊断工具
ping<ip># 连通性测试
traceroute<ip># 路径追踪
show ip traffic           # 流量统计
show cpu                  # CPU利用率
show memory               # 内存利用率

---

参考标准：GB/T 22239-2019、GB/T 28448-2019、GB/T 20281-2020（防火墙）、TP-LINK官方安全配置指南

适用版本：TP-LINK ER系列 v5.0+、TL-SG系列 v3.0+、EAP系列 v4.0+、TL-FW系列 v2.0+

验证环境：单机、主备、分布式部署（SD-WAN组网）