端口安全机制通过mac地址绑定与接入控制从链路层防范复用攻击，适用于二层接入交换机，需配置为access模式、稳定ip环境，并合理设置最大mac数及restrict响应策略。
端口绑定本身不是防复用攻击的直接手段，真正起作用的是端口安全（Port Security）机制——它通过MAC地址绑定与接入控制，从链路层阻断非法设备抢占端口、伪造身份或滥用同一物理端口的行为。所谓“端口复用攻击”，在局域网场景中多指攻击者私接Hub/路由器、仿冒合法终端MAC接入，或利用未加固端口发起泛洪、中间人等行为。实施有效防护，关键在于交换机侧的端口级准入控制。
明确端口安全适用范围与前提
该策略仅适用于二层接入交换机（如华为S系列、思科Catalyst），不适用于路由器、防火墙或服务器自身监听端口（如80/443）。启用前需确认：
- 目标端口已配置为接入模式（access mode），非trunk或hybrid
- 终端设备使用静态IP或DHCP且地址相对稳定（便于MAC绑定）
- 网络中无合法多终端共享单端口场景（如会议室信息点接会议终端+笔记本），否则需合理设置最大MAC数
配置核心参数：绑定方式与违规响应
以华为交换机为例，典型配置包含三个关键动作：
-
启用端口安全：进入接口视图执行
port-security enable -
设定允许MAC数量：如只允一台设备，用
port-security max-mac-num 1；若连接打印机+PC，可设为2 -
选择违规处理方式：
-
protect：静默丢弃非法帧，不告警也不中断业务 -
restrict：丢弃非法帧 + 记录日志 + 触发SNMP告警 -
shutdown：直接关闭端口（默认值，最严，需手动恢复）
-
推荐生产环境使用 restrict 模式，兼顾防护与可观测性。
绑定合法MAC地址的三种方式
根据管理粒度和运维习惯选择：
-
静态绑定：管理员手工添加，命令如
port-security mac-address 5489-98ab-cdef vlan 10，重启不失效，适合固定办公位 - Sticky MAC：首次学习到的合法MAC自动转为“粘滞”条目并保存，重启仍有效，适合批量部署场景
- 动态学习：仅临时记录接入MAC，重启后清空，适合临时测试口，安全性最低，不建议用于正式终端接入
配套措施强化整体防线
单靠端口安全不够，需结合其他机制形成纵深：
- 关闭未使用端口：
shutdown命令禁用空闲接口，减少暴露面 - 启用DHCP Snooping + IP Source Guard，防止IP-MAC欺骗绕过端口安全
- 定期导出端口安全绑定表（
display port-security mac-address），比对资产台账，发现异常接入 - 对关键区域（如工控工程师站、财务办公区）启用严格模式（max-mac-num=1 + shutdown响应）
