所有物理端口必须启用端口安全并静态绑定mac地址，结合shutdown响应与定期验证，实现“只认设备、不认人”的闭环管控。

对所有接入网络的物理端口做MAC地址绑定，核心目标是“只认设备，不认人”，让每个端口只接受指定的硬件接入，从源头堵住私接、仿冒、乱插等风险。这不是单纯配个白名单，而是要结合端口安全策略、静态绑定与违规响应机制，形成闭环控制。

明确绑定类型：端口级MAC锁定最可靠

别混淆IP-MAC绑定和端口-MAC绑定——前者防ARP欺骗，后者才真正管住物理接入。要实现“所有物理端口”级防护，必须在交换机接口层面启用端口安全（Port Security），而非仅靠路由器后台的MAC过滤。后者只能限制无线或DHCP分配，无法阻止有线端口被随意替换设备。

• 华为/华三设备：进接口视图后执行 port-security enable + port-security max-mac-num 1
• 思科设备：需先设 switchport mode access，再用 switchport port-security 开启
• 务必关闭动态MAC学习（如华为用 mac-address learning disable），否则绑定会被覆盖

绑定方式选对：静态优先，黏性慎用

三种常见绑定方式中，“静态MAC绑定”最稳妥，尤其适合固定办公位、服务器、打印机等关键节点；“黏性MAC”虽能自动学习，但首次学习后若设备更换网卡或重装系统，仍需人工干预，不适合全端口统一部署。

PyCharm 2026.2.0.1 Mac版

PyCharm 2026.2.0.1 Mac版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合在macOS系统上进行 Python 项目开发、运行、调试和测试。

下载

• 静态绑定命令示例（华为）：mac-address static aabb-cc00-0001 GigabitEthernet0/0/5 vlan 1
• 绑定前必须确认该接口已划分到正确VLAN，且模式为access，否则命令无效
• 每条绑定需对应一个真实、已知的终端MAC，建议提前采集并建立台账（含工位号、设备型号、责任人）

违规动作必须设死：自动阻断比告警更有效

只绑不拦等于没绑。一旦非法设备接入，端口必须立即响应，不能只丢包或发日志。生产环境中推荐使用shutdown模式，让端口进入err-disable状态，彻底切断链路。

• 华为：配置 port-security protect-action shutdown
• 思科：默认即shutdown，也可显式写 switchport port-security violation shutdown
• 配套需开启错误恢复（如华为用 error-down auto-recovery cause security-violation），避免误触发后需人工复位

验证与维护不能省：绑定不是一劳永逸

配置完不验证，等于没配。日常运维中，需定期检查绑定是否生效、是否有异常端口被shutdown、MAC表是否被绕过。

• 查单端口状态：display port-security interface GigabitEthernet0/0/5
• 看安全MAC表：display mac-address security
• 发现端口err-disable后，先用 display transceiver interface 确认是否真为安全违规，再决定是否手动 undo shutdown
• 新员工入职或设备更换时，必须同步更新绑定表，并在交换机上 save 配置，否则重启失效