粘滞 MAC 是什么
粘滞（sticky）学习让端口第一次学到的 MAC 自动写入运行配置，重启后按记录放行，省去逐条手工绑定。它适合终端位置固定、数量可控的接入口，例如办公工位、打印机与摄像头点位，是端口安全里最省人工的一种落地方式。
基本信息
| 适用平台 | 思科 IOS、华为 VRP 支持显式 sticky；H3C Comware 用 autolearn 等价实现 |
|---|---|
| 思科命令 | switchport port-security mac-address sticky |
| 华为命令 | port-security mac-address sticky |
| H3C 命令 | port-security port-mode autolearn |
典型使用场景
- 固定终端接入，免去逐条手工绑定 MAC
- 终端更换后由端口重新学习并固化
- 限制接入端口的 MAC 数量上限，防止私接分享
- 配合违规动作控制越权接入的处置方式
- 排查端口因端口安全违规被关闭或阻断
思科 IOS
思科 IOS
SW-CORE-01(config-if)# switchport port-security
SW-CORE-01(config-if)# switchport port-security maximum 1
SW-CORE-01(config-if)# switchport port-security mac-address sticky
SW-CORE-01(config-if)# switchport port-security violation restrict
SW-CORE-01# show port-security address华为 VRP
华为 VRP
[Huawei-GigabitEthernet0/0/1] port-security enable
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 1
[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
<Huawei> display port-security mac-address stickyH3C Comware
H3C Comware
[H3C-GigabitEthernet1/0/1] port-security enable
[H3C-GigabitEthernet1/0/1] port-security port-mode autolearn
[H3C-GigabitEthernet1/0/1] port-security max-mac-count 1
<H3C> display port-security mac-address三厂对照
| 厂商 | 粘滞实现 | 注意点 |
|---|---|---|
| 思科 IOS | switchport port-security mac-address sticky | 学到的条目写入运行配置，需要保存 |
| 华为 VRP | port-security mac-address sticky | 配合 max-mac-num 限制数量 |
| H3C Comware | port-security port-mode autolearn | autolearn 模式本身即等价于粘滞学习 |
| 违规动作 | violation 或 protect 类选项 | 决定超限后是丢包、告警还是关闭端口 |
三厂的差异主要在表达方式：思科与华为使用显式的 sticky 关键字，H3C 的 autolearn 模式本身就等价于粘滞学习，没有单独的 sticky 开关，切换厂商时不要照抄命令。
粘滞学到的条目写在运行配置中，必须保存到启动配置才能跨重启保留。忘记保存时重启后条目全部丢失，端口会重新学习当前在线的 MAC，安全约束等于被重置。
粘滞学习适合终端位置固定、数量可控的接入口。会议室、访客区这类人员流动频繁的区域不要使用粘滞：每次换机都要人工清理条目，运维成本远高于它带来的收益。