MAC 数量限制
限制端口可学习的 MAC 数量是防私接最直接的手段：把接入口的最大学习数设为 1 或很小的值，多余设备接入时端口进入受限或关闭状态，避免一台口后面挂一串交换机。三厂实现方式不同：华为与 H3C 有独立命令，思科复用端口安全机制。
基本信息
| 适用平台 | 华为 VRP（mac-limit）、H3C Comware（mac-address max-mac-count）、思科 IOS（port-security maximum） |
|---|---|
| 动作选项 | 超限后丢弃报文、产生告警或关闭端口 |
| 典型取值 | 用户接入口设为 1 到 2，级联口按实际规模规划 |
| 配合功能 | 端口安全、MAC 漂移检测、DHCP Snooping 绑定表 |
| 核对命令 | display mac-limit / display mac-address max-mac-count / show port-security interface |
三厂实现对照
| 能力 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 限制数量 | mac-limit maximum 值 | mac-address max-mac-count 值 | switchport port-security maximum 值 |
| 超限动作 | alarm enable 与 learning disable 组合 | 主要靠日志观察 | violation 指定 protect、restrict 或 shutdown |
| 查看 | display mac-limit interface | display mac-address max-mac-count interface | show port-security interface |
| 配套 | 与端口安全或绑定表联动 | 同左 | 与端口安全、粘滞 MAC 联动 |
典型使用场景
- 办公区接入口限制为单台设备，防止私自串接交换机
- 机房机柜口做准入控制，限制可接入的设备数量
- 会议室等公共区域口设更严格的上限并提供告警
- 排查私接：某端口 MAC 数异常增长时最快能发现
- 与 DHCP Snooping 配合，缩小伪造地址的影响范围
- 配合端口安全粘滞学习，把常用设备固定到指定端口
华为 VRP
华为 VRP
interface GigabitEthernet0/0/1
mac-limit maximum 10 # 最多学习 10 个 MAC
mac-limit action discard # 超限丢弃报文
mac-limit alarm enable # 超限产生告警
mac-address learning disable action discard
display mac-limit interface GigabitEthernet0/0/1思科 IOS 与 H3C Comware
思科 IOS 与 H3C Comware
interface GigabitEthernet0/1 # 思科：用端口安全实现
switchport port-security
switchport port-security maximum 10
switchport port-security violation restrict
show port-security interface GigabitEthernet0/1
interface GigabitEthernet1/0/1 # H3C
mac-address max-mac-count 10
display mac-address max-mac-count interface GigabitEthernet1/0/1限制值要按端口角色区分：用户接入口设 1 到 2 比较合理，级联口或接 AP、打印服务器的端口要按实际设备数放大，否则正常业务也会被限制。建议在端口描述里写明该口限制值及其原因，后期调整时不必重新推算。
超限动作选 shutdown 时要评估恢复方式：端口被关闭后需要人工或自动恢复，接入口建议用限制或丢弃加告警的形式，避免一次误接导致长时间不通且无人知晓。