华三5560+端口安全人工绑mac

1. 为什么在 secure 模式下使用 port-security mac-address 会报错？

2. 如何解决“来不及绑定就自动粘贴”的问题？

• 第一步：先将端口安全模式配置为 autoLearn。
• 第二步：在此模式下，使用 port-security mac-address security <MAC地址> vlan <VLAN-ID> 命令完成所有合法终端的静态绑定。
• 第三步：确认所有合法的 MAC 地址均已成功添加后，再将端口的安全模式切换为 secure。这样即可完美避开“误学习”的风险。

3. 是否可以使用 secure 模式 + mac-address static 来绑定？

 核心优势与注意事项

• 绝对防篡改：采用 secure 模式 + mac-address static 的方案，端口会彻底关闭 MAC 地址的动态学习功能。即使有非法设备接入，也无法生成任何动态 MAC 表项，安全性极高。
• 避免功能冲突：在使用此方案时，请务必确保该接口下没有同时开启 MAC 地址认证（mac-authentication）或 802.1X 认证（dot1x）。这些功能与端口安全存在互斥关系，若同时开启会导致绑定失效或引发异常告警。

H3C S5560 端口安全静态 MAC 绑定报错完整说明 + 标准配置
一、报错根本原因：命令关键字写错
你使用的命令：
plaintext
port-security mac-address 00xx-xxxx-xxxx vlan 100
secure 模式下这条命令不识别，静态绑定必须带 static 关键字，正确完整命令：
plaintext
port-security mac-address static 00xx-xxxx-xxxx vlan 100
缺少 static 系统判定为自动学习条目，仅 autolearn 模式允许，因此 secure 模式直接报错。
两种端口安全 MAC 条目区分
静态条目 static（适配 mode secure）
人工永久绑定，不会老化删除，重启设备保留；
必须写完整 port-security mac-address static MAC vlan X。
自动学习条目（无 static）
交换机在线学习终端 MAC 生成，仅 autolearn 模式可用，有老化时间，重启丢失。
二、mode secure + 静态 MAC 绑定 完全可行（你需求的方案）
完整标准配置模板（单端口绑定单终端）
bash
运行
interface GigabitEthernet 1/0/1
port link-type access
port access vlan 100
# 开启端口安全
port-security enable
# 严格安全模式：仅允许静态绑定MAC接入，未知MAC直接丢弃
port-security mode secure
# 静态绑定指定MAC+所属VLAN
port-security mac-address static 00aa-bbcc-dd01 vlan 100
# 最大允许接入终端数量（绑定1台填1）
port-security max-mac-count 1
# 非法MAC处理动作：restrict仅丢弃报文、上报日志；shutdown直接关端口
port-security violation restrict
效果
只有 00aa-bbcc-dd01 这台设备能上网；
换其他任何设备接入，直接阻断，不会自动学习黏贴 MAC；
配置永久保存，重启交换机绑定不丢失；
不存在来不及绑定就自动学习的问题（secure 模式完全关闭自动学习）。
三、三种 port-security mode 对比，解决你的顾虑
secure（推荐你的场景）
关闭自动学习；
仅允许手动 static 静态 MAC 条目通行；
无自动黏贴 MAC 风险，适合固定办公 PC、服务器；
autolearn
接口下终端上线自动生成学习 MAC 条目；
达到 max-mac-count 后停止学习；
存在你说的 “来不及人工绑定就自动黏贴” 问题；
dynamic
自动学习，条目无保存，交换机重启全部清空，极少使用。
四、批量静态绑定、多 MAC 绑定扩展示例
1. 一个端口允许多台固定终端（2 台 PC）
plaintext
interface GigabitEthernet 1/0/1
port-security enable
port-security mode secure
port-security max-mac-count 2
port-security mac-address static 00aa-bbcc-dd01 vlan 100
port-security mac-address static 00aa-bbcc-dd02 vlan 100
2. Trunk 口多 VLAN 分别绑定静态 MAC
plaintext
interface GigabitEthernet 1/0/1
port link-type trunk
port trunk permit vlan 100 200
port-security enable
port-security mode secure
port-security max-mac-count 2
port-security mac-address static 00aa-bbcc-dd01 vlan 100
port-security mac-address static 00aa-bbcc-dd02 vlan 200
五、查询 & 排错校验命令
bash
运行
# 查看端口安全全局配置
display port-security interface GigabitEthernet 1/0/1
# 查看静态绑定的安全MAC表项
display port-security mac-address static
# 查看非法MAC触发的日志
display logbuffer | include PORT_SECURITY
六、核心总结回答你的两个问题
port-security mode secure 下报错是因为缺少 static 关键字，静态绑定必须完整输入：
port-security mac-address static MAC地址 vlan X；
完全可以使用 mode secure + static 静态 MAC 绑定，该模式关闭自动学习，不会出现终端先接入自动黏贴 MAC 的情况，适合固定设备严格准入场景。