交换机端口安全与 MAC 绑定实操记录

## 起因 办公室一台接入交换机下挂了二十多台设备，某天其中一个口被插了个来历不明的 AP，结果整个网段都能被它蹭网，监控还拍到有人拿手机连上了内网。排查完把端口安全和 MAC 绑定补上，顺便把广播风暴也治了。 这篇把接入交换机上的几道基础"门禁"配置讲清楚——不依赖高端设备，二层交换机就能做。 ## 端口安全是什么 端口安全（Port Security）的作用是：**限制一个物理端口上能学到的 MAC 地址数量和具体是谁**。默认情况下交换机会无限制地学习 MAC，谁插上来就放谁进网。开启后，只有白名单里的 MAC 才能通信，其它一律丢。 ## 配置绑定 以常见的企业交换机命令为例： ```text interface GigabitEthernet0/1 switchport port-security switchport port-security maximum 2 switchport port-security mac-address 3c-52-82-xx-xx-xx switchport port-security violation restrict ``` 含义：这个口最多学 2 个 MAC，只放行指定的那一个，违规时 `restrict`（丢弃并告警，不关端口）。如果想彻底封死，用 `violation shutdown` 直接把端口 down 掉。 实践建议：办公室工位用 `maximum 2`（工位电脑 + 偶尔接的笔记本），公共区域用 `maximum 1` 最严。 ## 静态绑定比动态学习更稳 动态学习有个问题：重启后白名单可能丢。稳妥做法是**静态绑定**，把 MAC 和端口、IP 写死： ```text arp static 192.168.1.50 3c52-82xx-xxxx # 或在 DHCP 上做 IP-MAC 绑定 ip dhcp pool desk01 host 192.168.1.50 /24 client-identifier 0103.52xx.xxxx ``` 这样即便有人改了 IP，也拿不到网络——因为 ARP 表里根本没它。 ## 802.1X 才是正解 端口安全和 MAC 绑定属于"防君子不防小人"——MAC 地址可以伪造（spoofing）。真正严格的接入控制是 **802.1X**：设备接入时必须用账号密码或证书向 RADIUS 服务器认证，认证通过才放行进网。 ```text interface GigabitEthernet0/2 dot1x pae authenticator dot1x port-control auto ``` 配合 FreeRADIUS，每个员工一个账号，离职直接注销。小团队用端口安全够用，稍有规模就建议上 802.1X。 ## 广播风暴怎么治 那次故障里还有个症状：网速整体掉到几 K。抓包发现一个口在疯狂发广播。这种"广播风暴"会让交换机 CPU 飙升、全网卡死。 两层防护： 1. **开 STP/RSTP**：环路自动阻断。很多人嫌它慢就关了，结果一根错线就整网瘫痪。 2. **限制广播**：给端口设广播/组播速率上限（storm-control），超过阈值自动丢，把影响圈在单口内。 ```text interface GigabitEthernet0/3 storm-control broadcast level 10 storm-control action shutdown ``` ## 排查时用到的招 - `show mac-address-table` 看每个口都学了哪些 MAC，异常的一眼能看出来。 - 风暴来了先 `show processes cpu` 确认是不是广播把 CPU 打满。 - 怀疑环路，先拔掉最近新接的线，再看恢复没恢复。 ## 踩坑记录 **坑一：白名单配错导致自己被关门外。** violation 设成 shutdown，结果绑定的 MAC 抄错了，端口直接 down，得去机房 console 口恢复。生产环境建议先用 `restrict`，观察一段时间再收紧。 **坑二：maximum 设太小。** 设成 1 但口下接了个小 Hub，Hub 后面挂了两台机器，MAC 超过上限直接丢包。接 Hub 的口要把 maximum 调大。 **坑三：忘了 VLAN 隔离。** 端口安全只能管"谁能进"，管不了"进去后能访问什么"。上网段分割还是得靠 VLAN。 ## 小结 二层接入的"门禁"三件套：**端口安全限数量、MAC 绑定定身份、802.1X 做认证**。再加 STP 防环路、storm-control 防风暴，基本能把"随便插个设备就能进内网"的隐患堵上。配置前先在测试口试，别一上来就 shutdown 生产端口。