当前位置：首页 > 路由交换 > 正文

什么是交换机的端口安全，一篇文章包看懂

路由交换 来源：网络  作者：  编辑：cmd8.com 2025-05-08 09:44:54 浏览：106 评论：0

什么是端口安全（Port Security）?

THINKMO

01


什么是交换机的端口安全，一篇文章包看懂


端口安全（Port Security）是一种基于MAC地址过滤的接入控制机制，用于防止未经授权的终端设备接入交换机端口。


当启用了端口安全功能后，交换机会对接入该接口的 MAC 地址进行学习、限制、绑定或阻断，以此来保证接入终端的合法性。





为什么要用端口安全?

THINKMO

02



在实际网络运维中，你可能会遇到这些情况：


  • 同事把笔记本从一个端口拔下来接到另一个位置，MAC地址变化引发安全告警；

  • 某些用户偷偷加个交换机/无线AP，扩展端口接入更多设备；

  • 攻击者用工具伪造MAC地址，插入网络监听数据；

  • 内部威胁者进行MAC Flood攻击，使交换机转发失效，造成数据广播泄露。



启用端口安全后，你就拥有了这些能力：


  • 限制每端口接入设备数量（如最多允许1个MAC）；

  • 强绑定某些MAC地址，只允许固定设备接入；

  • 快速发现并阻断非法终端接入；

  • 结合日志系统，追踪攻击或违规行为源头。




端口安全的工作原理

THINKMO

03



端口安全控制的核心是 MAC地址学习与限制。一旦启用，接口将不再无脑学习所有MAC地址，而是：



类别
说明
是否可老化
是否可配置
静态MAC
管理员手动绑定
❌ 不老化
✅ 是
动态MAC
正常学习而来
✅ 可老化
❌ 否
安全动态MAC
在端口安全下学习
✅ 可设数量上限
✅ 是
粘滞MAC（Sticky）
动态学习后自动转静态
❌ 不老化
✅ 是



此外，安全策略还可以定义违规后的行为：



模式
行为
场景建议
Protect
丢弃非法数据帧，不告警
适合对可用性要求高场景
Restrict
丢弃并告警、记录日志
适合排查风险
error-down
直接关闭端口
适合强安全边界场景，如财务部门


配置示例（华为交换机）

THINKMO

04



什么是交换机的端口安全，一篇文章包看懂


场景需求：


  • SW1 接入办公终端；

  • 每个端口最多允许接入1台设备；

  • 若检测到非法MAC，自动关口并告警；

  • 自动粘滞学习当前已接设备的MAC地址。


[SW1] interface GigabitEthernet0/0/1[SW1-GigabitEthernet0/0/1] port-security enable[SW1-GigabitEthernet0/0/1] port-security 1[SW1-GigabitEthernet0/0/1] port-security protect-action error-down[SW1-GigabitEthernet0/0/1] port-security mac-address sticky



粘滞学习的 MAC 地址在设备重启后依然存在，适合办公、财务、打印机等终端。


场景拓展应用


场景一：绑定摄像头等固定资产设备


[SW1] interface GigabitEthernet0/0/2[SW1-GigabitEthernet0/0/2] port-security enable[SW1-GigabitEthernet0/0/2] port-security mac-address 0011-2233-4455 vlan 10[SW1-GigabitEthernet0/0/2] port-security protect-action error-down



场景二：宿舍/公共区域端口，只允许1台设备


[SW1] interface GigabitEthernet0/0/3[SW1-GigabitEthernet0/0/3] port-security enable[SW1-GigabitEthernet0/0/3] port-security 1[SW1-GigabitEthernet0/0/3] port-security protect-action restrict



场景三：访客区域启用保护模式，防止泛洪


[SW1] interface GigabitEthernet0/0/4[SW1-GigabitEthernet0/0/4] port-security enable[SW1-GigabitEthernet0/0/4] port-security protect-action protect [SW1-GigabitEthernet0/0/4] port-security 10






验证命令与故障排查

THINKMO

05



查看端口安全状态


[SW1] display port-security



查看已学习的MAC地址


[SW1] display mac-address



 恢复被禁用端口


[SW1] interface GigabitEthernet0/0/1[SW1-GigabitEthernet0/0/1] undo shutdown



使用建议与最佳实践


  1. 搭配802.1X认证或MAC认证，构建多层接入控制策略；

  2. 静态绑定MAC地址时注意设备更换风险，粘滞学习更灵活；

  3. 日志与告警平台联动，及时发现并处理安全事件；

  4. 监控端口安全状态变化，建议使用NMS集中管控；

  5. 慎用error-down 模式，避免误操作影响正常业务。





攻防视角：MAC Flood攻击防护

THINKMO

06



攻击者使用工具向交换机伪造大量随机MAC地址，导致交换机MAC表溢出，从而使流量泛洪、监听其他用户数据。


端口安全可限制端口上最多允许学习的 MAC 地址数量，当攻击流量超限时立即触发策略，形成有效防护。


我们今天就分享到这啦，端口安全虽“小”，却是网络安全建设的第一道防线。希望大家在部署交换机时别忽略这个实用功能！


如果你觉得有用，记得转发分享哦！



 文章声明 
本文部分素材整理自网络公开领域，版权归原作者所有，由网络工程师训练营排版成文，转载请注明出处，侵删。
 策划制作 
策划：大树老师  丨  编辑：大树老师



  • Panabit VLAN这样玩才高效：从透明网桥到网关模式的实战踩坑指南
  • 什么是交换机的端口安全，一篇文章包看懂
  • 什么是AIGC？
    •

    相关文章：

    文章已关闭评论！