elk监控交换机端口指定状态日志

背景：某公司的交换机都配置了端口安全，即端口绑定MAC地址，限制非法用户接入公网网络。在日常维护的时候合法用户如果更换了PC设备，也会无法接入网络。这时候就要找PC接在交换机哪个端口，重新绑定MAC。但是如果网络设备很多的情况就需要一一去查看交换机日志，这是很浪费时间和效率。所以想到以下方法，如果有更好的解决方案请指导。

一、交换机配置

1、第一种配置，直接开启接口port-security，默认只允许一个MAC地址，入侵检测默认动作port-security protect-action restrict

[SW47]display  version  
Huawei Versatile Routing Platform Software
VRP (R) software, Version 5.70 (S2700 V100R006C05)
Copyright (C) 2003-2013 HUAWEI TECH CO., LTD
Quidway S2700-9TP-EI-AC Routing Switch uptime is 0 week, 0 day, 4 hours, 43 minutes

[SW47-Ethernet0/0/1]dis this
#
interface Ethernet0/0/1
 port link-type access
 port default vlan 14
 port-security enable
#

入侵检测动作发送的信息：restrict

Jul 10 2019 14:54:09+08:00 SW47 L2IFPPI/4/port action Trap:OID 1.3.6.1.4.1.2011.5.25.42.2.1.7.6 The number of MAC address on interface (5/5) Ethernet0/0/1 reaches the limit, and the port status is : 1. (1:restrict;2:protect;3:shutdown)

参数	参数说明
protec