1. 项目概述：为什么要在交换机上做端口安全绑定？

如果你手头有华为的交换机，或者正在用华为eNSP模拟器学习网络技术，那你肯定对“端口安全”这个词不陌生。简单来说，端口安全（Port Security）就是给交换机的物理端口上一把“锁”，只允许你指定的、信任的设备接入。这把锁的钥匙，通常就是设备的MAC地址和IP地址。这个实验的核心，就是通过配置，让交换机的某个端口只认一个或几个特定的MAC和IP组合，陌生设备一插上来，端口要么直接“罢工”（Shutdown），要么就把它“拉黑”（Restrict），从而构建一个基础的接入层安全防线。

听起来是不是有点像给家里的Wi-Fi设白名单？原理是相通的，但交换机上的端口安全更底层、更直接。我刚开始接触时也觉得这配置挺简单，不就是几条命令嘛。但真在项目里用起来，或者用eNSP模拟复杂场景时，才发现坑一点不少：绑定方式选错了导致合法用户上不了网、最大MAC地址数设得不合理、违规处理动作没配好反而成了攻击入口……这些都不是光看命令手册就能明白的。

所以，今天我就结合在eNSP里反复折腾和实际项目中的经验，把这个“端口安全绑定MAC和IP”的实验从头到尾拆开揉碎了讲清楚。咱们不光是敲命令，更要弄明白每条命令背后的逻辑，以及在不同场景下该怎么选、怎么配。无论你是正在备考华为认证的网络新人，还是需要巩固基础的老手，这篇都能帮你把这块知识点真正“绑定”到脑子里。

2. 实验核心思路与设计考量

在动手敲命令之前，咱们得先盘算清楚：为什么要绑定？绑定的本质是什么？不同的绑定策略又分别适用于什么场合？理清这些，配置时才能心中有数，不至于配完了自己都说不清为啥这么配。

2.1 端口安全的核心目标与绑定本质

交换机端口默认是“来者不拒”的开放状态，任何设备插上来都能通信。这在家里或小型办公室可能没问题，但在稍微有点规模或者对安全有要求的网络里，这就是个隐患。想象一下，有人拿着台笔记本，随便在办公室找个空闲网口一插，就能接入内网，甚至可能窃听数据、发起攻击。端口安全要解决的，就是这个“随意接入”的问题。

绑定的本质，是建立一张端口级的“合法设备清单”。这个清单的校验因子，就是MAC地址和IP地址。

• MAC地址绑定：这是最常用、也是最基础的。MAC地址是网卡的物理身份证，理论上全球唯一。绑定MAC地址，意味着交换机只允许拥有特定MAC地址的帧从这个端口进入。这能有效防止非法设备接入，也能防止内部用户随意更换接入设备。
• IP地址绑定：单独绑定IP地址的情况较少，因为IP地址是逻辑的、可变的。但将IP地址与MAC地址组合绑定，安全性就上了一个台阶。这称为“IP-MAC绑定”或“静态ARP绑定”（在端口安全语境下实现）。它不仅能防止非法接入，还能防止ARP欺骗攻击——因为即使攻击者伪造了合法设备的MAC地址，如果IP地址对不上，端口同样会拒绝其流量。

所以，我们这个实验的完整表述应该是：在华为交换机上配置端口安全功能，并启用IP-MAC绑定（或MAC地址绑定）策略，以实现基于端口的接入控制。

2.2 方案选型：三种绑定模式详解

华为交换机端口安全主要提供三种MAC地址学习模式，对应不同的绑定策略：

1. mac-address static(静态绑定)：

   • 怎么玩：手动在端口上配置mac-address static [MAC] vlan [VLAN ID] interface [接口]。这是最严格的绑定方式。端口的安全MAC地址表项完全由管理员手工指定，交换机不会自动学习任何新的MAC地址。
   • 优点：控制粒度最细，安全性最高。适合那些设备固定、且长期不变的场景，比如服务器、打印机、管理员固定办公位。
   • 缺点：维护工作量最大。每台新设备接入都需要手动配置。如果设备网卡坏了，换了新电脑，你必须先删除旧的绑定，再添加新的，否则新设备无法联网。

2. mac-address sticky(粘性绑定)：

   • 怎么玩：在端口上开启粘性学习功能后，端口会自动学习第一个接入设备的MAC地址，并自动将其转换为一条静态绑定表项，保存到配置文件中。之后重启交换机，这个绑定关系依然存在。
   • 优点：兼具安全性与便利性。首次接入是自动的，减少了手动配置的工作量；学习后即固化，防止了设备更换。这是在实际办公环境中我最推荐的方式，尤其是给普通员工用。
   • 缺点：如果第一个接入的设备是非法的，它就会被“合法化”。因此，初始部署时需要确保第一个接入的是合法设备。

3. mac-address dynamic(动态绑定)：

   • 怎么玩：端口可以动态学习MAC地址，但学习的数量受到端口安全配置的“最大MAC地址数”限制。学满之后，新的MAC地址就无法再进入。
   • 优点：有一定灵活性，适合少量设备临时共享一个端口的场景（比如小型会议室）。
   • 缺点：绑定关系不持久，交换机重启后动态表项会丢失。安全性是三种中最弱的，因为无法防止MAC地址欺骗。

选择建议：

• 追求最高安全与稳定：选静态绑定。用于核心服务器、网络设备互联口、安全准入要求极高的区域。
• 平衡安全与运维效率：选粘性绑定。用于绝大部分员工办公接入端口，这是网络工程师的“万金油”配置。
• 临时、灵活接入：选动态绑定，并合理设置最大学习数量。用于访客区域、会议室等。

我们这个实验，为了展示完整的管理员控制流程，会以静态绑定作为主线，同时也会对比演示粘性绑定的配置。理解了最复杂的静态绑定，其他两种就很容易触类旁通。

2.3 实验拓扑与工具准备

为了模拟真实环境，我们在eNSP中搭建一个最简单的拓扑：

[PC1] (IP: 192.168.1.10/24, MAC: 假设为 5489-98D3-1A2B) | | (连接线) | [SW1] (华为交换机，如S5700) | | (连接线) | [PC2] (IP: 192.168.1.20/24, MAC: 假设为 5489-98D3-2C3D)

• SW1：使用一台华为三层交换机（如S5700），我们将在其GigabitEthernet 0/0/1端口上配置端口安全与IP-MAC绑定，只允许PC1接入。
• PC1：合法设备。
• PC2：非法测试设备。

工具与命令准备：

• eNSP模拟器：确保版本正常，设备镜像已导入。
• 关键查看命令：
  • display mac-address：查看MAC地址表。
  • display port-security：查看端口安全状态。
  • display current-configuration interface [接口]：查看接口详细配置。
• 核心配置命令：我们将在下一章详细展开。

注意：在eNSP中，PC的MAC地址是模拟生成的。你可以在PC命令行用ipconfig /all(Windows)或ifconfig(Linux)查看其MAC地址，并在后续配置中使用真实的地址。本文为演示，使用假设的MAC地址。

3. 核心配置解析与实操步骤

现在，我们进入实战环节。我会以静态绑定IP-MAC为例，把每一步的命令、意图和可能遇到的问题都讲透。

3.1 基础网络环境搭建

在配置安全之前，先保证基础网络是通的。假设PC1和PC2属于VLAN 10。

步骤1：创建VLAN并配置Access端口

[SW1] sysname SW1 [SW1] vlan batch 10 // 创建VLAN 10 [SW1] interface gigabitethernet 0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access // 将端口模式设为Access [SW1-GigabitEthernet0/0/1] port default vlan 10 // 将端口划入VLAN 10 [SW1-GigabitEthernet0/0/1] quit [SW1] interface gigabitethernet 0/0/2 [SW1-GigabitEthernet0/0/2] port link-type access [SW1-GigabitEthernet0/0/2] port default vlan 10 [SW1-GigabitEthernet0/0/2] quit

步骤2：配置VLANIF接口作为网关

[SW1] interface vlanif 10 [SW1-Vlanif10] ip address 192.168.1.1 24 // 配置VLAN 10的网关IP [SW1-Vlanif10] quit

步骤3：配置PC的IP地址

• PC1: IP 192.168.1.10/24， 网关 192.168.1.1
• PC2: IP 192.168.1.20/24， 网关 192.168.1.1

此时，用PC1pingPC2 (192.168.1.20) 和网关 (192.168.1.1)，应该都能通。用display mac-address命令，可以看到交换机从G0/0/1和G0/0/2两个端口动态学习到了PC1和PC2的MAC地址。

3.2 端口安全功能启用与关键参数配置

这是最核心的部分。我们将在G0/0/1端口上实施安全策略。

步骤1：进入接口，开启端口安全功能

[SW1] interface gigabitethernet 0/0/1 [SW1-GigabitEthernet0/0/1] port-security enable

注意：port-security enable是总开关。没开这个，后面所有绑定配置都不会生效。这是新手最容易漏的一步，配了半天发现没效果，回头一查，开关没开。

步骤2：配置端口安全模式为“静态绑定”

[SW1-GigabitEthernet0/0/1] port-security mac-address sticky

等等，这里为什么是sticky？不是说好做静态绑定吗？这里有个关键点：在华为交换机上，端口安全绑定IP-MAC地址，需要在“粘性安全MAC”的基础上进行。也就是说，我们需要先让端口具备生成粘性安全MAC地址的能力（即使我们后续是手动添加静态项），或者直接学习到一个粘性MAC，然后再为其绑定IP。因此，这一步设置模式是必要的。如果你打算完全手动，不依赖自动学习，也需要先执行此命令。

步骤3：手动添加静态的IP-MAC绑定表项这是实现“只允许特定IP和MAC设备”接入的关键命令。

[SW1-GigabitEthernet0/0/1] port-security mac-address sticky 5489-98d3-1a2b vlan 10 ip-address 192.168.1.10

• 5489-98d3-1a2b: 这是PC1的MAC地址，注意格式，通常用连字符分隔。
• vlan 10: 指定该绑定表项所属的VLAN，必须与端口所在的VLAN一致。
• ip-address 192.168.1.10: 绑定的IP地址。

这条命令执行后，就在G0/0/1端口的安全MAC地址表中，创建了一条“静态”表项（虽然命令里写的是sticky，但因为是手动添加的，其性质是静态的），关联了指定的MAC、VLAN和IP。

步骤4：配置端口安全参数

[SW1-GigabitEthernet0/0/1] port-security max-mac-num 1 // 关键！设置该端口最大安全MAC数为1 [SW1-GigabitEthernet0/0/1] port-security protect-action restrict // 设置违规动作为restrict

• max-mac-num 1：这是安全性的核心。它限制了该端口只允许存在1个安全MAC地址（就是我们刚才绑定的那个）。如果试图接入第二个设备（即使它的MAC和IP没在绑定列表里），也会因为数量超限而触发违规动作。务必根据实际需要设置，如果员工电脑可能通过Hub或小型交换机接多台设备（如电脑和IP电话），这个数就要设大一些。
• protect-action：违规后的处理动作。有三个选项：
  • restrict：丢弃违规帧并告警。这是最常用的方式，非法流量被丢弃，但端口依然正常工作，合法设备不受影响。交换机上会生成日志和告警。
  • shutdown：关闭端口。最严厉的处罚，端口会被error-down，需要管理员手动restart才能恢复。在安全性要求极高的场景使用，但误伤风险大。
  • protect：仅丢弃违规帧，不告警。静默丢弃，不利于管理员发现攻击行为。

步骤5：验证配置配置完成后，不要急着退出。

[SW1-GigabitEthernet0/0/1] display this // 查看接口下的配置，确认所有命令都已存在。 [SW1-GigabitEthernet0/0/1] quit [SW1] display port-security interface gigabitethernet 0/0/1

使用display port-security命令，你可以看到该端口的安全状态：Port Security是Enabled，Max MAC Num是1，Current MAC Num应该是1（如果PC1正接着），Security MAC Num也是1。Protect Action是restrict。同时，在Security MAC列表里，应该能看到我们绑定的5489-98d3-1a2b，类型是Sticky，并且绑定了IP192.168.1.10。

3.3 效果测试与现象分析

现在，我们来测试配置是否生效。

测试1：合法设备（PC1）通信测试PC1上执行ping 192.168.1.1（网关）和ping 192.168.1.20（PC2）。应该都能ping通。因为PC1的MAC和IP与绑定条目匹配，其流量被允许通过。同时，交换机上display mac-address命令显示，G0/0/1端口对应的MAC地址表项类型可能是SECURITY或STICKY，而不是普通的DYNAMIC。

测试2：非法设备（PC2）接入测试

1. 物理替换：在eNSP中，将PC2连接到交换机的G0/0/1端口（替换掉PC1）。
2. 观察现象：PC2无法ping通网关(192.168.1.1)。因为PC2的MAC地址（5489-98d3-2C3D）和IP地址（192.168.1.20）与端口上绑定的安全条目（5489-98d3-1A2B, 192.168.1.10）无一匹配。
3. 查看日志：在交换机上执行display logbuffer或terminal monitor&terminal logging后重新测试，可以看到类似%PORT_SECURITY: Port-security learned a illegal mac-address 5489-98d3-2c3d on GigabitEthernet0/0/1, and the protect action is restrict.的告警信息。这证实了违规动作restrict生效了。
4. 查看端口安全状态：再次display port-security interface gigabitethernet 0/0/1，注意Dropped Packets（丢弃报文数）这个计数器会增加，而Security MAC Num不会增加，Current MAC Num可能显示为0（因为PC2的MAC未被学习为安全MAC）。

测试3：MAC地址欺骗测试这是一个更隐蔽的攻击测试。假设攻击者PC2将自己的MAC地址改成和PC1一样（5489-98d3-1A2B），但IP地址还是自己的（192.168.1.20）。

1. 在PC2上修改其MAC地址为5489-98d3-1A2B（修改方法因系统而异，eNSP中PC属性可直接修改）。
2. 将PC2连接到G0/0/1。
3. 测试PC2 ping网关。结果会是失败。
4. 原因分析：虽然MAC地址匹配了，但我们配置的是IP-MAC绑定。端口安全在检查时，会同时校验MAC和IP。PC2的IP（192.168.1.20）与绑定条目中的IP（192.168.1.10）不匹配，因此流量依然被视为违规而被丢弃。这正体现了IP-MAC绑定在防御ARP欺骗上的优势。

4. 粘性绑定与动态绑定的配置对比

理解了静态IP-MAC绑定，其他模式就很容易配置了。这里快速过一下，重点讲区别和注意事项。

4.1 粘性绑定（Sticky）配置

粘性绑定更适合“固定设备但免手动录入”的场景。假设G0/0/1端口要给一台新电脑（PC3）用。

配置步骤：

[SW1] interface gigabitethernet 0/0/3 [SW1-GigabitEthernet0/0/3] port link-type access [SW1-GigabitEthernet0/0/3] port default vlan 10 [SW1-GigabitEthernet0/0/3] port-security enable [SW1-GigabitEthernet0/0/3] port-security max-mac-num 2 // 假设允许一台电脑和一台IP电话 [SW1-GigabitEthernet0/0/3] port-security mac-address sticky // 开启粘性学习模式 [SW1-GigabitEthernet0/0/3] port-security protect-action restrict

配置完成后：

1. 将PC3（MAC假设为AAAA-BBBB-CCCC， IP 192.168.1.30）接入G0/0/3。
2. 交换机端口会自动学习到PC3的MAC地址，并将其转换为一条粘性安全MAC地址。
3. 使用display port-security interface g0/0/3，你会看到一条类型为Sticky的安全MAC，但注意，此时它没有绑定IP地址。
4. 如果需要绑定IP，你仍然需要手动执行那条绑定命令：port-security mac-address sticky AAAA-BBBB-CCCC vlan 10 ip-address 192.168.1.30。或者，你可以依赖上层的DHCP Snooping+IP Source Guard等特性来动态绑定IP。

粘性绑定的关键点：

• 自动转换：学习到的动态MAC会自动转成粘性安全MAC，并保存到当前配置中。执行save后，即使重启交换机，这个绑定关系（MAC+VLAN）依然存在。
• IP绑定非必须：粘性绑定可以只绑定MAC和VLAN，不绑定IP。这提供了灵活性，但安全性稍弱。
• 首次接入至关重要：务必确保第一个接入的设备是合法的，否则非法设备就被“固化”了。

4.2 动态绑定配置

动态绑定适用于临时、灵活的场合，安全性要求不高。

配置步骤：

[SW1] interface gigabitethernet 0/0/24 // 假设是会议室端口 [SW1-GigabitEthernet0/0/24] port link-type access [SW1-GigabitEthernet0/0/24] port default vlan 20 // 访客VLAN [SW1-GigabitEthernet0/0/24] port-security enable [SW1-GigabitEthernet0/0/24] port-security max-mac-num 5 // 允许最多5台设备临时接入 // 注意：这里没有 `port-security mac-address sticky` 命令！ [SW1-GigabitEthernet0/0/24] port-security protect-action restrict

特点：

• 端口会动态学习MAC地址，直到数量达到max-mac-num（本例为5）。
• 学习到的是动态安全MAC，不会保存到配置文件中，交换机重启后清空。
• 无法直接绑定IP地址（因为没有粘性或静态表项作为基础）。
• 当第6台设备尝试接入时，会触发违规动作。

5. 常见问题、排错思路与进阶技巧

配置看似简单，但在实验和真实环境中总会遇到各种“坑”。下面是我总结的一些典型问题和解决方法。

5.1 配置后端口“失灵”了？

现象：配置端口安全后，连合法的PC也ping不通了。排查思路（按照顺序检查）：

1. 检查总开关：display port-security interface查看Port Security是否为Enabled。没开等于白配。
2. 检查MAC地址表项：display mac-address interface查看合法设备的MAC是否被学习到，类型是否为SECURITY或STICKY。如果还是DYNAMIC，说明安全绑定没生效。
3. 检查绑定条目：display port-security interface仔细核对Security MAC列表。最容易出错的地方：
   • MAC地址格式错误：配置时用了空格、冒号，或者大小写不一致？华为交换机CLI通常不区分大小写，但格式要正确（如5489-98d3-1a2b）。
   • VLAN ID不匹配：绑定的VLAN和端口实际的PVID（port default vlan）是否一致？不一致会导致绑定失效。
   • IP地址错误：绑定的IP地址和终端配置的IP地址是否完全一致？
4. 检查max-mac-num：是否设置得太小？比如只设置了1，但端口下实际接了一个小交换机，连着多台设备，那么只有第一个被学习到的设备能通信。
5. 检查违规动作：是否误配置为shutdown？用display interface brief看端口状态，如果是ERROR DOWN(port-security)，就需要先restart端口，再检查配置。

5.2 如何批量部署端口安全？

在办公网，成百上千个接入端口要配置，不可能一个个敲命令。

• 使用端口组（Port Group）：

  [SW1] port-group name office-access // 创建端口组 [SW1-port-group-office-access] group-member gigabitethernet 0/0/1 to gigabitethernet 0/0/48 // 添加成员 [SW1-port-group-office-access] port link-type access [SW1-port-group-office-access] port default vlan 10 [SW1-port-group-office-access] port-security enable [SW1-port-group-office-access] port-security max-mac-num 3 // 假设每个口允许1台电脑+1台IP电话+1个预留 [SW1-port-group-office-access] port-security mac-address sticky [SW1-port-group-office-access] port-security protect-action restrict

  这样，G0/0/1到G0/0/48的配置就一次性完成了。但是，IP-MAC绑定无法在端口组里批量做，因为每个口的绑定信息都是唯一的。IP-MAC绑定通常需要结合其他方案。

• 联动DHCP Snooping和IP Source Guard：这是一个更自动化、更适用于大型网络的方案。DHCP Snooping可以监听并记录客户端通过DHCP获取IP的租约（包含IP、MAC、端口、VLAN信息），生成一张动态绑定表。IP Source Guard则利用这张表，在接口上实施过滤。这实现了动态的、基于DHCP分配的IP-MAC-Port绑定，无需手动配置每一条。但这属于更进阶的内容，需要配置DHCP服务器、开启全局DHCP Snooping等。

5.3 端口安全与其他特性的冲突

• 与MAC地址认证（802.1X）：端口安全和802.1X都是接入层安全技术，但不要同时在同一端口启用。802.1X是更强大、更灵活的身份认证机制，端口安全则相对简单粗暴。通常有了802.1X，就不再需要端口安全了。
• 与Voice VLAN：如果端口下接IP电话和电脑（电话串接电脑），需要将端口模式设为hybrid或trunk，并允许语音VLAN和数据VLAN通过。此时配置端口安全，max-mac-num至少要设置为2，并且绑定的MAC地址要区分属于哪个VLAN。配置命令中需要明确指定VLAN ID。
• 与STP（生成树协议）：一般没有冲突。但注意，如果违规动作是shutdown，触发后端口被error-down，STP会认为该端口故障。

5.4 安全加固进阶技巧

1. 结合mac-address learning disable：在配置了静态绑定的端口上，可以额外关闭MAC地址学习功能mac-address learning disable。这样，交换机除了你绑定的那条静态安全MAC，不会再学习任何新的MAC地址。这是双保险，进一步杜绝了未知设备被动态学习的可能性。
2. 违规日志上报：配置port-security trap功能，让交换机在发生违规时向网管服务器（如SNMP Server）发送Trap消息，便于集中监控和告警。
3. 定期审计安全MAC表：使用display port-security all定期检查所有端口的安全MAC地址表，及时发现异常绑定或未授权的静态条目。

端口安全是一个“小而美”的初级安全特性，它构建了网络接入防御的第一道门槛。通过eNSP反复实验，搞清楚静态、粘性、动态三种模式的差别，理解max-mac-num和protect-action的影响，你就能在真实的网络规划中，为不同的端口选择最合适的安全策略。记住，没有一种配置是放之四海而皆准的，最好的配置永远是那个最贴合你实际业务需求的配置。多实验，多思考，遇到问题按部就班地排查，这块内容就能稳稳拿下了。