公司刚换了新的IT系统，小李作为技术负责人，忙着部署网络监控工具。他启用了网络拓扑自动发现功能，几分钟内就看到了整个局域网的设备连接图：交换机、服务器、打印机、甚至员工的手机都清清楚楚列了出来。他松了口气，觉得这功能真省事。可转念一想：这些信息要是被外人看到，岂不是全露底了？
自动发现是怎么工作的
网络拓扑自动发现主要靠几种协议来回“打招呼”。比如使用SNMP（简单网络管理协议）去询问设备型号、IP地址和端口状态；通过ARP表查看局域网内的IP和MAC地址对应关系；还有LLDP或CDP这类链路层发现协议，能知道两台交换机是怎么连的。
这些数据汇总起来，就能自动生成一张网络地图。对管理员来说，排查故障、规划扩容都方便多了。但问题也正出在这里——谁还能拿到这些信息？
信息泄露的风险点
如果自动发现的数据没有保护好，相当于把自家网络的“户型图”贴在了门口。攻击者一旦获取这张图，就知道哪些是关键服务器，哪些设备存在漏洞，甚至能顺着连接路径一步步深入内网。
举个例子，某次安全测试中，红队成员通过一个开放的SNMP接口，直接拉出了整个办公网的拓扑结构。他们发现财务部的数据库服务器居然和访客Wi-Fi在同一个三层区域，虽然没直接暴露端口，但已经为后续渗透提供了明确方向。
配置不当等于开门揖盗
很多单位为了省事，给所有设备配置相同的SNMP团体名，比如默认的“public”。这种设置就像用“123456”当密码，扫描工具扫一下就能拿走全部信息。
更危险的是，有些网络监控系统把拓扑图页面直接挂在公网，又没做登录验证。网上随便搜一串关键词，可能就蹦出几十个企业的内部网络结构。
snmpwalk -v 2c -c public 192.168.1.1 system上面这条命令，只要社区字符串正确，就能读取目标设备的基本信息。如果再结合其他探测，整个拓扑都能还原出来。
怎么用才安全
不是说这个功能不能用，而是得管住它的出口。第一步就是关闭不必要的发现协议。比如在接入层交换机上关掉CDP，避免终端设备看到太多网络细节。
SNMP要改默认团体名，读写权限分开，最好启用SNMPv3，支持加密和认证。同时在防火墙上限制访问源，只允许监控服务器发起查询。
拓扑数据本身也要分级管理。生成的图表不放在公共页面，带敏感信息的导出文件加密存储，访问记录留日志。就像公司平面图不会随便发给访客，网络地图更得锁好。
有些企业还会在非核心区域部署“蜜罐”设备，故意出现在拓扑里，一旦被探测或访问，立刻触发告警。这也是一种主动防御的思路。