端口安全的老化与恢复
端口安全会记录该端口上学习到的合法 MAC，超出数量上限的报文按违规动作处理。表项的老化决定了「合法终端换机」这件事多久能被自动接受：老化时间配得合理，换台设备等一会儿自动恢复；配得不合理，要么正常终端被反复重新学习、要么违规设备长期占位。两厂的老化语义并不一致，配置前要看清类型参数。
基本信息
| 适用平台 | 思科 IOS（switchport port-security aging）、华为 VRP（port-security aging-time）、H3C Comware（intrusion-mode 与恢复计时器） |
|---|---|
| 思科老化类型 | absolute（绝对时长，到期即老化）/ inactivity（静默时长，无流量才老化） |
| 华为命令 | port-security aging-time，具体行为随型号不同 |
| H3C 命令 | port-security intrusion-mode 指定违规动作，配恢复计时器控制端口恢复 |
| 推荐选择 | 对终端友好的 inactivity 类老化，避免正常设备被误踢 |
| 配套项 | 违规动作（保护、限制、关闭端口）与恢复方式的组合 |
典型使用场景
- 办公接入口：员工更换终端后希望自动恢复，不需要等网管手动清理
- 打印机与哑终端位：设备长期不换，老化时间可以设长一点
- 公共区端口：终设备流动大，靠老化自动更新合法 MAC 清单
- 违规处置：端口因违规被关闭后，用恢复计时器自动或人工恢复
- 安全审计：核对老化配置是否合理，避免「配了端口安全但从来没老化过」
思科 IOS
思科 IOS
SW-CORE-01(config)# interface GigabitEthernet1/0/1
SW-CORE-01(config-if)# switchport port-security
SW-CORE-01(config-if)# switchport port-security maximum 2
SW-CORE-01(config-if)# switchport port-security aging time 30 # 30 分钟
SW-CORE-01(config-if)# switchport port-security aging type inactivity # 静默才老化
SW-CORE-01# show port-security interface GigabitEthernet1/0/1 # 核对老化与违规计数华为 VRP
华为 VRP
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] port-security enable
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 2
[Huawei-GigabitEthernet0/0/1] port-security aging-time 30 # 单位与行为随型号，用 ? 确认
[Huawei-GigabitEthernet0/0/1] port-security protect-action restrict # 违规动作
<Huawei> display port-security interface GigabitEthernet0/0/1H3C Comware
H3C Comware
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] port-security max-mac-count 2
[H3C-GigabitEthernet1/0/1] port-security intrusion-mode disableport-temporarily
[H3C-GigabitEthernet1/0/1] port-security timer disableport 30 # 关闭后自动恢复时间
[H3C-GigabitEthernet1/0/1] port-security port-mode autolearn # 自动学习模式
<H3C> display port-security interface GigabitEthernet1/0/1老化方式对比
| 方式 | 触发条件 | 特点 |
|---|---|---|
| 绝对老化（absolute） | 到达设定时长 | 到点即清，正常在用的终端也可能被清掉后重新学习 |
| 静默老化（inactivity） | 设定时长内无流量 | 对在线终端友好，是接入网更常用的选择 |
| 不老化 | 永不失效 | 换机需要人工干预，维护成本高 |
| 违规后恢复计时器 | 端口被关闭后 | 到期自动恢复，避免长时间中断 |
两厂语义不同：思科把「老化时长」与「老化类型」分成两个参数；华为用一个 aging-time；H3C 的 port-security 侧更强调入侵动作与端口恢复计时。跨厂抄配置时，先确认当前平台的参数语义再下发。