三厂端口安全总对照
端口安全的三要素在任何厂商都一样：开关、允许的最大 MAC 数、违例动作（丢弃、丢弃并告警、关闭端口）。三厂都在接口下配置，思科是 switchport port-security 家族，华为是 port-security 加 protect-action，H3C 额外要求先选准入模式。做跨厂方案时把这三要素对齐即可。
基本信息
| 适用设备 | 三厂通用（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为 | port-security enable + max-mac-num + protect-action |
| 思科 | switchport port-security + maximum + violation |
| H3C | port-security enable + port-mode + max-mac-count + intrusion-mode |
| 违例动作档位 | protect 丢弃不告警；restrict 丢弃并告警；shutdown 关闭端口 |
| 恢复机制 | 思科 errdisable recovery；华为/H3C 的 error-down 恢复机制 |
典型使用场景
- 接入口防止私接设备与 MAC 泛洪
- 限制单口终端数量（工位、会议室、打印区）
- 固定设备绑定（服务器、打印机等不常换网卡的场景）
- 与 DHCP Snooping 等特性配合形成接入准入
- 安全审计：明确每个接入端口允许的 MAC 数量与违例动作
华为 VRP
华为 VRP
interface GigabitEthernet0/0/1
port-security enable
port-security max-mac-num 3
port-security protect-action restrict # 丢弃并告警，不关端口
display port-security interface GigabitEthernet0/0/1思科 IOS
思科 IOS
interface GigabitEthernet0/1
switchport port-security
switchport port-security maximum 3
switchport port-security violation restrict
show port-security interface GigabitEthernet0/1
show port-security addressH3C Comware
H3C Comware
port-security enable
interface GigabitEthernet1/0/1
port-security max-mac-count 3
port-security port-mode autolearn
port-security intrusion-mode disableport-temporarily
display port-security interface GigabitEthernet1/0/1三厂配置对照
| 要素 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 开关 | port-security enable | port-security enable | switchport port-security |
| 准入模式 | 无独立模式概念 | port-security port-mode autolearn/secure/userlogin | 开关即生效，可用 sticky 固化 |
| MAC 上限 | port-security max-mac-num N | port-security max-mac-count N | switchport port-security maximum N |
| 违例动作 | port-security protect-action protect/restrict/shutdown | port-security intrusion-mode 组合表达 | switchport port-security violation protect/restrict/shutdown |
| 自动恢复 | error-down 恢复机制（视版本） | port-security timer disableport N | errdisable recovery |
违例动作三档的含义要分清：protect 只丢弃不产生告警；restrict 丢弃并计数/告警；shutdown（或等价动作）直接关闭端口。防护越强，误伤影响面也越大。
shutdown 类动作最严格也最容易误伤：一次误触发就让整口不可用。启用前确认该口下设备数量稳定，并配置自动恢复与告警通知，避免长时间中断。
上限怎么定：先统计该口实际学习的 MAC 数量，再按「实测量 + 余量」设定，比凭经验拍一个数字稳得多；同一型号的接入口尽量用同一套标准，便于批量核查。