為什么要寫這個技術(shù)點？
忙了一個多月的項目靶累，現(xiàn)在終于有點時間可以碼碼字了腺毫，今天剛好是特別的一天，先祝大家冬至快樂挣柬。
這是在工作上碰到的一個問題潮酒，我一同事跟進(jìn)處理客戶這個問題，領(lǐng)導(dǎo)讓我協(xié)調(diào)解決邪蛔，多大的屁事讓我跟進(jìn)急黎？哈哈....越是最基本的技術(shù)難道都忘了?短短的幾行命令，還不知道原理是怎么樣的侧到？啪啪啪啪....去官網(wǎng)給你get下勃教，千萬別做伸手黨，自己動動腦匠抗、動動手故源，點滴靠自己。
這是客戶反饋的log信息：
有基礎(chǔ)的小伙伴一看就大概知道是什么問題了汞贸，結(jié)合現(xiàn)網(wǎng)配置看下就心知肚明了绳军。
要點概述
了解安全MAC
port security屬于安全設(shè)計方面的一個小要點而已。主要是在端口下控制允許終端接入數(shù)量著蛙，怎么控制删铃？就是通過secure MAC啦。
Secure MAC可以通過3種方式來配置：
static secure MAC：接口下手工通過命令 switchport port-security mac-address H.H.H配置踏堡，存儲在mac地址表并添加到running configuration猎唁；
dynamic secure MAC：動態(tài)學(xué)習(xí)，設(shè)備重啟即消失,重新學(xué)習(xí)；
sticky secure MAC：接口下手工或動態(tài)學(xué)習(xí)诫隅，通過命令switchport port-security mac-address {H.H.H | sticky}腐魂，存儲在mac地址表并添加到配置文件；
安全違規(guī)怎么辦逐纬？
違規(guī)條件
達(dá)到最大安全MAC地址表上限蛔屹，新MAC地址接入即觸發(fā)違規(guī)；
同一個VLAN不同接口學(xué)習(xí)或配置同樣MAC地址即觸發(fā)違規(guī)豁生；
違規(guī)模式
protect：當(dāng)超過最大安全MAC地址限制時兔毒，丟棄未知的源MAC，且系統(tǒng)不會通知發(fā)生了違規(guī)（端口狀態(tài)仍保持up）甸箱；
restrict：當(dāng)超過最大安全MAC地址限制時育叁，丟棄未知的源MAC，系統(tǒng)會發(fā)送snmp trap芍殖、記錄logging豪嗽、違規(guī)計數(shù)增長（端口狀態(tài)仍保持up）；
shutdown：當(dāng)超過最大安全MAC地址限制時豌骏，將端口置為err-disable狀態(tài)并關(guān)閉該接口（缺省模式）龟梦；
shutdown vlan：vlan將被禁用；
缺省端口安全配置
配置指導(dǎo)
哪些場景可以應(yīng)用窃躲？
僅靜態(tài)的access或trunk模式计贰，不支持動態(tài)的access模式；
鏡像目的端口（SPAN）不能配置端口安全框舔；
鏈路聚合(EtherChannel)不能配置端口安全蹦玫；
端口特性可以兼容端口安全總表：
實驗拓?fù)鋱D
實驗環(huán)境說明：
一臺三層交換機，模擬網(wǎng)關(guān)刘绣；
一臺hub下掛3臺終端樱溉；
正常情況下只允許兩臺終端上線，第三臺上線即觸發(fā)違規(guī)纬凤；
場景演示之protect模式
接口配置：
interface Ethernet0/0
switchport mode access
switchport port-security maximum 2
switchport port-security
switchport port-security violation protect
端口狀態(tài)：
SW01#show int e0/0
Ethernet0/0 is up, line protocol is up (connected)
告警信息：
無
場景演示之restrict模式
接口配置：
interface Ethernet0/0
switchport mode access
switchport port-security maximum 2
switchport port-security
switchport port-security violation restrict
接口狀態(tài)：
SW01#show int e0/0
Ethernet0/0 is up, line protocol is up (connected)
告警信息：
*Dec 22 13:42:05.093: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address aabb.cc00.2001 on port Ethernet0/0.
場景演示之shutdown模式
接口配置：
interface Ethernet0/0
switchport mode access
switchport port-security maximum 2
switchport port-security
switchport port-security violation shutdown //缺省福贞，配置完不顯示
端口狀態(tài)：
SW01#show int e0/0
Ethernet0/0 is down, line protocol is down (err-disabled)
告警信息：
SW01#
*Dec 22 13:46:34.986: %PM-4-ERR_DISABLE: psecure-violation error detected on Et0/0, putting Et0/0 in err-disable state
SW01#
*Dec 22 13:46:34.987: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 0050.7966.6805 on port Ethernet0/0.
*Dec 22 13:46:35.987: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to down
SW01#
*Dec 22 13:46:36.987: %LINK-3-UPDOWN: Interface Ethernet0/0, changed state to down
恢復(fù)err-disable方法：
方法1：自動恢復(fù)（缺省300恢復(fù)，如違規(guī)觸發(fā)還是進(jìn)入err-disable）
SW01(config)#errdisable recovery cause psecure-violation
方法2：手工shutdown/no shutdown恢復(fù)
SW01(config)#int e0/0
SW01(config-if)#shutdown
SW01(config-if)#no shutdown
如何驗證
官方參考鏈接：
如果喜歡的我的文章停士，歡迎關(guān)注我的公眾號：點滴技術(shù)挖帘，掃碼關(guān)注，不定期分享恋技。
