端口安全配置：绑定 MAC 地址、限制端口最大接入终端、非法设备封禁

wuyun

在交换机上配置端口安全（Port Security）可以有效提升网络安全性，防止非法设备接入。以下是配置端口安全的关键步骤和示例（以 Cisco 交换机为例，其他品牌逻辑类似）：

---

### **一、核心功能说明**
1. **绑定 MAC 地址**  
   - 仅允许特定 MAC 地址的设备通过该端口通信。
2. **限制最大接入终端数**  
   - 限制端口允许的 MAC 地址数量（如 1 个，防止多设备共享端口）。
3. **非法设备封禁**  
   - 检测到违规 MAC 时，自动禁用端口或限制流量。

---

### **二、配置步骤**
#### **1. 进入接口配置模式**
```bash
Switch> enable
Switch# configure terminal
Switch(config)# interface GigabitEthernet0/1  # 选择目标端口
```

#### **2. 启用端口安全**
```bash
Switch(config-if)# switchport port-security  # 启用端口安全功能
```

#### **3. 绑定 MAC 地址**
- **静态绑定（手动指定）**  
  ```bash
  Switch(config-if)# switchport port-security mac-address xxxx.xxxx.xxxx  # 替换为具体MAC
  ```
- **动态学习（自动记录首个接入设备的MAC）**  
  默认行为，但重启后丢失，建议结合 `sticky` 关键字持久化：
  ```bash
  Switch(config-if)# switchport port-security mac-address sticky
  ```

#### **4. 限制最大 MAC 数量**
```bash
Switch(config-if)# switchport port-security maximum 1  # 例如：仅允许1个MAC
```

#### **5. 配置违规处理策略**
- **封禁端口（常用）**  
  ```bash
  Switch(config-if)# switchport port-security violation shutdown  # 违规时关闭端口
  ```
- 其他选项：
  - `protect`：丢弃非法流量，不记录日志。
  - `restrict`：丢弃非法流量并记录日志（需配置SNMP）。

#### **6. 保存配置**
```bash
Switch(config-if)# exit
Switch# write memory  # 或 copy running-config startup-config
```

---

### **三、验证与排查**
1. **查看端口安全状态**  
   ```bash
   Switch# show port-security interface GigabitEthernet0/1
   ```
   - 显示绑定的 MAC、最大数量、违规模式等。

2. **查看安全违规记录**  
   ```bash
   Switch# show port-security address
   ```

3. **恢复被关闭的端口**  
   - 需手动重启端口或使用 `errdisable recovery` 功能（需全局配置）。

---

### **四、高级配置建议**
1. **全局启用自动恢复**  
   ```bash
   Switch(config)# errdisable recovery cause psecure-violation  # 自动恢复因安全违规关闭的端口（间隔300秒）
   ```

2. **结合动态ARP检测（DAI）**  
   防止 ARP 欺骗，增强 L2 安全。

3. **日志监控**  
   配置 Syslog 或 SNMP，实时接收违规告警。

---

### **五、注意事项**
- **动态绑定重启失效问题**：使用 `sticky` 后，MAC 会保存到运行配置，但需手动保存到启动配置。
- **端口关闭影响业务**：生产环境建议先测试 `restrict` 模式，避免直接断网。
- **多厂商差异**：华为/H3C 使用 `port-security enable`，命令略有不同。

---

通过以上配置，可有效控制端口接入设备，防止非法终端接入网络。根据实际需求调整最大 MAC 数和违规策略。