为什么要限制单口 MAC 数量
一个面向单终端的接入端口，正常情况下只会学到一到几个 MAC 地址。限制端口可学习的 MAC 数量，可以在用户私接交换机或集线器时给出明确信号：达到上限后新 MAC 不再学习并触发告警，泛洪范围被压住，同时给运维留下可定位的事件记录。它是接入侧最廉价、部署最广的一道防线。
基本信息
| 华为 | mac-limit maximum 20 alarm enable |
|---|---|
| 思科 | switchport port-security maximum 20 |
| H3C | mac-address max-mac-count 20 |
| 适用位置 | 用户接入口、会议室信息点 |
| 慎用位置 | 级联口、下挂 AP 与下挂交换机的端口 |
典型使用场景
- 办公位信息点防私接：单口只允许一台终端数量级的 MAC
- 抑制泛洪源头：私接设备被限制后不会把 MAC 表挤满
- 给接入异常提供信号：超限即有告警和日志，便于追溯
- 配合端口安全：超限后的处置动作可进一步收紧
- 机房交付验收：把 MAC 上限作为接入侧基线配置的一部分
- 无线 AP 下挂口按实际并发终端数量设置上限，既能发现异常级联，也不会误伤正常漫游终端
三厂商配置参考
三厂商配置参考
# 华为
interface GigabitEthernet0/0/1
mac-limit maximum 20 alarm enable # 超限告警，处理动作可选
# 思科
interface GigabitEthernet1/0/1
switchport port-security maximum 20 # 超限行为由 violation 决定
switchport port-security violation restrict
# H3C
interface GigabitEthernet1/0/1
mac-address max-mac-count 20 # 超限后不再学习新 MAC三厂商对照
| 厂商 | 关键点 | 超限行为 |
|---|---|---|
| 华为 | mac-limit 与告警开关分开配置 | 按配置选择丢弃报文或告警，需查命令参考确认 |
| 思科 | port-security 需先开启再设上限 | violation 决定 shutdown、protect 或 restrict |
| H3C | max-mac-count 直接限数量 | 新 MAC 不再学习，旧表项按版本策略处理 |
上限按端口用途设置：单终端口可以很小，级联口与 AP 口要按实际终端规模放宽。上限触发后的旧表项处理策略（保留还是替换）随厂商与版本不同，上线前先确认行为，避免把正常终端踢出。建议开启告警并保留日志，事后才能追溯到是哪个时间点、哪台设备带来的 MAC 增长。
在承载下级交换机的端口上直接套用小上限，会导致下级终端的 MAC 学不到、流量被限，表现为大面积断网，属于易发生的配置事故。