外来电脑插上网线就能上网：端口安全Sticky MAC把接口钉死

本文整理自华为官方发布的典型配置案例，按中小企业常见场景做了场景化梳理。

一个让网管头疼的老问题

办公区墙上的网口谁都能插。来访人员的笔记本、员工私带的电脑，往接口一插就拿到了内网地址——轻则蹭网占带宽，重则接触内部业务系统。静态 MAC 绑定要一台台手抄，DHCP Snooping 方案要动全局配置，华为官方给了个轻量做法：端口安全（Port Security）。它把接口学到的动态 MAC 自动转成安全 MAC，外来设备一插就不通，还能顺手限制接口上接入的用户数量。官方文档明确定位：一般用在接入层设备，实现用户和接口的绑定。

方案选型：Sticky MAC 是关键

端口安全支持三种安全 MAC：安全动态 MAC（重启丢失）、安全静态 MAC、Sticky MAC（粘滞，能写进配置重启不丢）。生产环境官方建议启用 Sticky MAC——学到的 MAC 自动固化成配置，设备重启后防御还在。一个注意点：接口配了 mac-limit 后就再配不了端口安全，两者二选一。

第一步：把接口划进业务 VLAN

以官方示例为参照：接入交换机 Switch 下挂 PC1/PC2/PC3，业务在 VLAN 10，与 PC 相连的接口类型必须是 access（默认不是，需手动配）：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan 10   //创建VLAN 10
[Switch-vlan10] quit
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access   //接PC的接口类型必须是access
[Switch-GigabitEthernet1/0/1] port default vlan 10
[Switch-GigabitEthernet1/0/1] quit

GE1/0/2、GE1/0/3 配置相同，不再重复。

第二步：开启端口安全并固化 MAC

[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port-security enable   //使能端口安全功能
[Switch-GigabitEthernet1/0/1] port-security mac-address sticky   //使能sticky MAC，配置重启不丢失
[Switch-GigabitEthernet1/0/1] port-security max-mac-num 1   //接口默认限制数为1

官方备注两点：一个接口确认只接一台设备时，默认限制数 1 可以不配；如果接口上串了 IP Phone，限制数要改成 3——话机占两个 MAC 表项（语音、数据各一个 VLAN），电脑占一个。

验证：换台电脑试试

验证办法很直接：把接口上的合法电脑换成另一台，新设备无法访问公司网络，接口因安全保护对陌生 MAC 拒之门外；换回原电脑，业务立即恢复。日常巡检可用 display port-security 查看各接口的安全 MAC 与违例状态，谁在什么时候被拦一目了然。

给网管的三点提醒

一是员工换电脑、换网卡后要先清掉接口上的 sticky 表项再加新 MAC，别硬拔硬插；二是会议室、访客区这类流动性强的区域，建议单独划 VLAN 配访客策略，而不是开放同网段接口；三是端口安全管的是二层准入，配合网关侧的 ACL 与准入认证，才构成完整的接入防线。

办公区接入层改造、外来设备准入管控，贵州诚鑫致达科技提供交换机调试与内网安全巡检的上门服务，欢迎留言或私信咨询。

（来源：华为 S 系列交换机官方配置案例《配置端口安全示例》，命令与注意事项以官方文档为准）

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。