端口安全到底生效了没有
端口安全配置完成后，靠端口 up 来判断是否生效是不够的——端口可以正常转发，但违例计数可能已经涨到几千，说明保护机制在反复触发却没被处理。核对要做四件事：确认端口的模式与最大 MAC 数是否符合设计，查看已学习到的安全 MAC 列表，看违例计数是否在增长，以及检查老化与 sticky 状态。计数持续增长通常指向两种情况：终端换了网卡，或者有人在用工具做地址扫描。
基本信息
| 适用场景 | 端口安全上线验收与故障排查 |
|---|---|
| 核对项 | 端口模式、最大 MAC 数、安全 MAC 列表、违例计数、老化状态 |
| 思科命令 | show port-security interface、show port-security address |
| 华为命令 | display port-security interface、display port-security mac-address sticky |
| H3C 命令 | display port-security interface、display port-security mac-address |
典型使用场景
- 上线验收：逐口确认端口安全配置与设计一致，留档作为交付证据
- 终端更换：用户换电脑后上不了网，检查是否需要清理已绑定的安全 MAC
- 异常排查：端口频繁进入保护状态，通过违例计数判断是终端问题还是人为扫描
- 容量核对：确认最大 MAC 数与实际接入终端数量匹配，避免误伤
- 安全审计：核查违例记录，判断是否存在违规接入行为
思科 IOS
思科 IOS
SW-CORE-01# show port-security interface GigabitEthernet0/1
! 关注 Port Status、Violation Mode、Maximum MAC 与计数
SW-CORE-01# show port-security address ! 已学习的安全 MAC 全表
SW-CORE-01# show interfaces status err-disabled ! 因违例被关闭的端口
SW-CORE-01# clear port-security sticky interface GigabitEthernet0/1华为 VRP 与 H3C
华为 VRP 与 H3C
<Huawei> display port-security interface GigabitEthernet0/0/1
<Huawei> display port-security mac-address sticky ! 安全 MAC 列表
<Huawei> display error-down recovery ! 因保护被关闭的端口
<H3C> display port-security interface GigabitEthernet1/0/1
<H3C> display port-security mac-address核对项怎么读
| 核对项 | 正常表现 | 异常含义 |
|---|---|---|
| 端口状态 | 已启用保护且转发正常 | 被关闭说明已触发保护动作 |
| 最大 MAC 数 | 与规划设计一致 | 配置为默认值时保护形同虚设 |
| 安全 MAC 列表 | 数量不超过上限且与终端对应 | 出现陌生 MAC 说明有未授权设备 |
| 违例计数 | 保持为零或稳定 | 持续增长说明终端更换或有人在扫描 |
| 保护动作 | 与设计一致（告警或关闭） | 动作为仅告警时不会阻断接入 |
终端更换网卡后连不上网，很多时候并不是网络故障，而是新 MAC 触发了保护动作。此时应先在设备上确认计数与安全 MAC 列表，再决定是清理绑定还是调整上限。
把保护动作设置成仅告警时，端口不会阻断，安全效果接近零。上线前要明确设计意图：需要真正控制接入的端口，动作必须是关闭或限制。