Oamc

端口安全与防私接

修改记录 原文
#端口安全 #DHCP Snooping #防私接
本页目录

场景

办公区有人私接路由器、乱插交换机，导致地址冲突、DHCP 被抢、环路。 要限制每个口能学几个 MAC，只信任上行的 DHCP。

前置条件

  • 接入交换机支持端口安全
  • 上行口和对端设备确认好（哪个口是信任口）
  • 先摸清每个工位是单设备还是接了话机 + 电脑

配置

H3C

system-view
port-security enable

interface GigabitEthernet1/0/1
 port-security max-mac-count 2
 port-security port-mode autolearn
 quit

# 只信任上行口
dhcp snooping enable
interface GigabitEthernet1/0/24
 dhcp snooping trust
 quit

华为

system-view
port-security enable

interface GigabitEthernet0/0/1
 port-security max-mac-num 2
 port-security protect-action restrict
 quit

dhcp snooping enable
interface GigabitEthernet0/0/24
 dhcp snooping trusted
 quit

验证

display port-security
display port-security interface GigabitEthernet1/0/1
display dhcp snooping

超过 MAC 上限时端口会进入 restrict 或 shutdown 状态，日志里有记录。

回滚

interface GigabitEthernet1/0/1
 undo port-security max-mac-count
 undo port-security port-mode

端口被 shutdown 的先用 undo shutdown 恢复，再查是谁插了多设备。

坑

  • 上限设太小会把正常设备锁掉：话机 + 电脑就是两个 MAC，还有 IP 电话串接。
  • autolearn 模式下换网卡要手动清 MAC 表，否则新设备上不了网。
  • DHCP snooping 的信任口配错方向，整个 VLAN 都拿不到地址。
  • 私接路由器如果是 NAT 模式，看不太出来，只能靠 DHCP snooping 挡。
  • 配完先在一个办公室试点，别一次推全网。