企业要求接入层交换机上每个连接终端设备的接口均只允许一台PC接入网络（限制mac地址接入数量）。如果有员工试图在某个接口下级联一台小交换机或集线器从而扩展上网接口，那么这种行为应该被发现或被禁止，如下图所示：
另一些企业还可能会要求只有MAC地址为可信任的终端发送的数据帧才允许被交换机转发到上层网络，员工不能私自更换位置（变更交换机的接入端口），如下图所示:
通过交换机的端口安全（port security）特性可以解决这些问题。
安全MAC地址通常与安全保护动作结合使用，常见的安全保护动作有：
❝”
在对接入用户的安全性要求较高的网络中，可以配置端口安全功能及端口安全动态MAC学习的限制数量。此时接口学习到的MAC地址会被转换为安全MAC地址，接口学习的最大MAC数量达到上限后不再学习新的MAC地址，仅允许这些MAC地址和交换机通信。而且接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，无论目的MAC地址是否存在，交换机即认为有非法用户攻击，就会根据配置的动作对接口做保护处理。这样可以阻止其他非信任用户通过本接口和交换机通信，提高交换机与网络的安全性。 配置端口安全功能后，接口学习到的MAC地址会转换为安全MAC地址，接口学习的最大MAC数量达到上限后不再学习新的MAC地址，仅允许这些MAC地址和交换机通信。如果接入用户发生变动，可以通过设备重启或者配置安全MAC老化时间刷新MAC地址表项。对于相对比较稳定的接入用户，如果不希望后续发生变化，可以进一步使能接口Sticky MAC功能，这样在保存配置之后，MAC地址表项不会刷新或者丢失。
[Huawei-GigabitEthe.NET0/0/1] port-security enable
❝缺省情况下，未使能端口安全功能。
”
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num max-number
❝缺省情况下，接口学习的安全MAC地址限制数量为1。
”
[Huawei-GigabitEthernet0/0/1] port-security mac-address mac-address vlan vlan-id
[Huawei-GigabitEthernet0/0/1] port-security protect-action { protect | restrict | shutdown }
❝”
缺省情况下，端口安全保护动作为restrict。 当出现静态MAC地址漂移时，接口将执行error down操作，同时发出告警。
当学习到的MAC地址数超过接口限制数时，接口将执行error down操作，同时发出告警。 当出现静态MAC地址漂移时，接口将执行error down操作，同时发出告警。 当学习到的MAC地址数超过接口限制数时，接口将丢弃源地址在MAC表以外的报文，同时发出告警。 当出现静态MAC地址漂移时，接口将丢弃带有该MAC地址的报文，同时发出告警。 当学习到的MAC地址数超过接口限制数时，接口将丢弃源地址在MAC表以外的报文。 当出现静态MAC地址漂移时，接口将丢弃带有该MAC地址的报文。 protectrestrictshutdown
[Huawei-GigabitEthernet0/0/1] port-security aging-time time [ type { absolute | inactivity } ]
❝缺省情况下，接口学习的安全动态MAC地址不老化。
”
[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
❝缺省情况下，接口未使能Sticky MAC功能。
”
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num max-number
❝使能接口Sticky MAC功能后，缺省情况下，接口学习的MAC地址限制数量为1。
”
[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky mac-address vlan vlan-id
❝配置要求：
”
在Switch1上部署端口安全。 GE0/0/1及GE0/0/2接口将学习MAC地址的数量限制为1。当该接口连接多台PC时，Switch1需发出告警，且要求此时接口依然能正常转发合法PC的数据帧。 GE0/0/3接口将学习MAC地址的数量限制为2，并且当学习到的MAC地址数超出接口限制数时，交换机需发出告警，并且将接口关闭。
Switch1配置如下：
[Switch1] interface GigabitEthernet 0/0/1
[Switch1-GigabitEthernet 0/0/1] port-security enable
[Switch1-GigabitEthernet 0/0/1] port-security max-mac-num 1
[Switch1-GigabitEthernet 0/0/1] port-security protect-action restrict
[Switch1] interface GigabitEthernet 0/0/2
[Switch1-GigabitEthernet 0/0/2] port-security enable
[Switch1-GigabitEthernet 0/0/2] port-security max-mac-num 1
[Switch1-GigabitEthernet 0/0/2] port-security protect-action restrict
[Switch1] interface GigabitEthernet 0/0/3
[Switch1-GigabitEthernet 0/0/3] port-security enable
[Switch1-GigabitEthernet 0/0/3] port-security max-mac-num 2
[Switch1-GigabitEthernet 0/0/3] port-security protect-action shutdown
配置验证:执行命令display mac-address security ，查看动态安全MAC表项。
[Switch1]display mac-address security
MAC address table of slot 0:
----------------------------------------------------------------------------------------------------------------
MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID
VSI/SI MAC-Tunnel
----------------------------------------------------------------------------------------------------------------
5489-98ac-71a9 1 - - GE0/0/3 security -
5489-98b1-7b30 1 - - GE0/0/1 security -
5489-9815-662b 1 - - GE0/0/2 security -
----------------------------------------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 3
❝配置要求：
”
在Switch上部署端口安全。将GE0/0/1~G0/0/3都激活端口安全。 GE0/0/1及GE0/0/2接口都将学习MAC地址的数量限制为1，并将在这两个接口上学习到的动态安全MAC地址转换为Sticky MAC地址。 对于GE0/0/3将学习MAC地址的数量限制为1，但是通过手工的方式为该接口创建一个sticky MAC地址表项，将该接口与MAC地址5489-98ac-71a9绑定。各接口违例惩罚保持缺省。
Switch配置如下：
[Switch] interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet 0/0/1] port-security enable
[Switch-GigabitEthernet 0/0/1] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/1] port-security mac-address sticky
[Switch] interface GigabitEthernet 0/0/2
[Switch-GigabitEthernet 0/0/2] port-security enable
[Switch-GigabitEthernet 0/0/2] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/2] port-security mac-address sticky
[Switch] interface GigabitEthernet 0/0/3
[Switch-GigabitEthernet 0/0/3] port-security enable
[Switch-GigabitEthernet 0/0/3] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/3] port-security mac-address sticky
[Switch-GigabitEthernet 0/0/3] port-security mac-address sticky 5489-98ac-71a9 vlan 1
配置验证执行命令display mac-address sticky，查看Sticky MAC表项。
[Switch1]display mac-address sticky
MAC address table of slot 0:
-------------------------------------------------------------------------------------------------------
MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID
VSI/SI MAC-Tunnel
-------------------------------------------------------------------------------------------------------
5489-98ac-71a9 1 - - GE0/0/3 sticky -
5489-98b1-7b30 1 - - GE0/0/1 sticky -
5489-9815-662b 1 - - GE0/0/2 sticky -
-------------------------------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 3
京公网安备 11010802035086号