配置端口安全

端口安全简介

端口安全（Port Security）通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC、安全静态MAC和Sticky MAC），阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。

MAC地址变化情况

当端口安全功能或者Sticky MAC功能使能/去使能时，接口上的MAC地址会变化或者被删除，详细情况请参见下表。

超过安全MAC地址限制数后的动作

接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，无论目的MAC地址是否存在，交换机即认为有非法用户攻击，就会根据配置的动作对接口做保护处理。缺省情况下，保护动作是丢弃该报文并上报告警。

告警信息可以通过执行display trapbuffer命令查看，也可以直接上报网管，通过网管查看。

配置静态MAC地址漂移检测功能后出现静态MAC地址漂移时的动作

安全MAC地址也属于静态MAC地址，接口上配置静态MAC地址漂移检测功能后，如果收到报文的源MAC地址已经存在在其他接口的静态MAC表中，交换机则认为存在静态MAC地址漂移，就会根据配置的动作对接口做保护处理。端口安全保护动作有restrict、protect和shutdown三种。

告警信息可以通过执行display trapbuffer命令查看，也可以直接上报网管，通过网管查看。

拓扑图

SW1 基本配置
<Huawei>system-view 
[Huawei]vlan 10
[Huawei-vlan10]q

接口加入VLAN10
[Huawei-Ethernet0/0/1]port link-type access 	
[Huawei-Ethernet0/0/1]port default  vlan 10
[Huawei-Ethernet0/0/1]q

[Huawei]interface Ethernet 0/0/2	
[Huawei-Ethernet0/0/2]port link-type access 
[Huawei-Ethernet0/0/2]port default vlan 10
[Huawei-Ethernet0/0/2]q

[Huawei]interface Ethernet 0/0/3	
[Huawei-Ethernet0/0/3]port link-type access 	
[Huawei-Ethernet0/0/3]port default vlan 10
[Huawei-Ethernet0/0/3]q



配置GE0/0/1接口的端口安全功能。 
# 使能接口Sticky MAC功能，同时配置MAC地址限制数
Huawei]interface Ethernet 0/0/1
[Huawei-Ethernet0/0/1]port-security  enable 
[Huawei-Ethernet0/0/1]port-security  mac-address sticky 
[Huawei-Ethernet0/0/1]port-security max-mac-num 1

[Huawei]interface Ethernet 0/0/2
[Huawei-Ethernet0/0/2]port-security enable 
[Huawei-Ethernet0/0/2]port-security  mac-address sticky 
[Huawei-Ethernet0/0/2]port-security max-mac-num 1
[Huawei-Ethernet0/0/2]q

[Huawei]interface Ethernet 0/0/3
[Huawei-Ethernet0/0/3]port-security enable 
[Huawei-Ethernet0/0/3]port-security mac-address sticky 
[Huawei-Ethernet0/0/3]port-security  max-mac-num 1


interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10

SW1 配置dhcp

interface Vlanif 10
 ip address 192.168.1.254 255.255.255.0
 dhcp select interface
 dhcp server dns-list 8.8.8.8

PC1 已经拿到 IP

同样的端口 换了一台PC 就拿不到 IP了