谁的电脑能进门：交换机端口安全配置

办公区的墙面网口是"哑资源"：谁拿来一个随身路由器、一台小交换机甚至一部手机，插上就能进网。地址池被私接设备抢着用、陌生终端摸到内网系统，都是这种"进门不看证"的后果。华为交换机的端口安全（Port-Security）功能就是给墙口装一道闸：口上只认登记过的 MAC 地址，多出来的设备接进去也上不了网。下面走一遍配置。

第一步，在接入口上开启端口安全。 以某个办公区墙口对应交换机口为例：

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
 port-security enable

port-security enable 开启后，该口学习到的 MAC 地址会被当作"安全地址"管理，默认把动态学习转为安全动态 MAC。

第二步，限制口上可接入的终端数。 一个工位通常一台电脑（带话机再加一个）：

interface GigabitEthernet0/0/1
 port-security max-mac-num 2

超过这个数量的新设备，该口不再学习其地址——私接的小交换机下面挂再多机器，也只有前两个能通。

第三步，定违规动作。 有陌生设备试图接入时交换机怎么反应，三种模式按需选：

interface GigabitEthernet0/0/1
 port-security protect-action restrict

• protect：直接丢弃违规报文，不出声；
• restrict：丢弃的同时发告警，计数可查——办公区推荐这个，静默掐断又不放过痕迹；
• shutdown：直接把口关掉，安全要求高的区域才用，误插一根线就断网，恢复要人工干预。

进阶：把工位电脑焊死在口上。 对财务、机房这类固定终端，可以用安全静态 MAC 绑定，换到别的口也上不了网：

port-security mac-address sticky

粘滞安全 MAC 会把当前学习的地址固化进配置，设备与端口一一对应。

配置完怎么验。 在口上接第二台未登记设备，应出现地址不通；交换机上 display port-security 查看端口安全全局状态，display mac-address security 能看到口上的安全地址表与违规计数。

两个提醒：一是先摸清工位实际终端数再定 max-mac-num，配小了会误伤正常办公；二是批量启用前先在一两个区域试点，把告警日志观察一天再推开。接入层的安全门、终端准入、访客隔离是一套方案，企业做办公网整改时建议同步落地。贵州诚鑫致达科技在网络组建与整改中常按区域做接入管控的整体规划，有需要的单位可以按"诚鑫致达 网络安全"了解我们的实施做法。

（约 900 字）

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。