关于交换机端口安全问题
- 0关注
- 0收藏，492浏览
问题描述：
接口下配置
port-security max-mac-count 1
port-security port-mode autolearn
之后学习到安全mac的话生成
port-security mac-address security sticky XXXX-XXXX-XXXX vlan 100
mac地址表还能学习到mac，但是不自动生成安全mac绑定了，是为什么呢。
- 2025-05-16提问
- 举报
-
(0)
最佳答案
你遇到的问题是：
在 H3C 接口下配置了
port-security max-mac-count 1 port-security port-mode autolearn然后接口确实学到了 MAC，但并没有生成 sticky 的安全 MAC 绑定（
port-security mac-address security sticky ...）。
🎯 结论：这是因为缺少了 sticky 模式的开启命令
你的配置中只设置了：
port-security port-mode autolearn
而 自动学习（autolearn）≠ sticky 模式。
要让系统自动将学到的 MAC 写入配置（或安全MAC表），你必须开启 sticky 模式：
port-security port-mode sticky
✅ 正确配置组合如下（支持动态写入 sticky MAC）：
interface GigabitEthernet 1/0/1
port link-type access
port default vlan 100
port-security enable
port-security max-mac-count 1
port-security port-mode sticky
⚠️ 注意：
sticky模式是“自动学习并转为静态绑定 MAC”的机制；
autolearn模式仅是运行时动态学习，不会写入配置或长期绑定；两者是互斥的，不能同时配置，默认后配置的会覆盖前者。
📘 模式区别说明
| 模式 | 描述 | 是否生成 sticky 安全 MAC |
|---|---|---|
autolearn |
动态学习 MAC，仅存在于运行时 MAC 表 | ❌ 不生成 sticky |
sticky |
学习 MAC 并写入为 sticky 安全绑定 | ✅ 会生成 sticky 安全 MAC |
user-defined |
手动指定安全 MAC 地址 | ✅ |
✅ 检查命令参考
查看安全 MAC 表：
display port-security mac-address
查看接口绑定模式：
display this | include port-security
✅ 建议你这样配置
interface GigabitEthernet 1/0/1
port link-type access
port default vlan 100
port-security enable
port-security max-mac-count 1
port-security port-mode sticky
重新插拔终端或 shutdown/no shutdown 接口后，即可看到自动绑定的 sticky 安全 MAC：
port-security mac-address security sticky xxxx-xxxx-xxxx vlan 100
- 2025-05-16回答
- 评论(0)
- 举报
-
(0)
这种情况可能是因为粘滞MAC地址（Sticky MAC）的特性导致的。粘滞MAC地址是一种安全特性，当一个MAC地址首次通过某个端口进入设备时，设备会自动将其转换为安全MAC地址，并将其与该端口绑定。但是，一旦一个MAC地址被转换为安全MAC地址，它将不再被设备的MAC地址表自动学习和更新。 如果设备上的MAC地址学习功能正常，但是没有自动生成安全MAC绑定，可能是因为粘滞MAC地址的特性已经将该MAC地址转换为安全MAC，因此设备的MAC地址表不会再对其进行学习和更新。如果需要更新安全MAC绑定，可能需要手动执行相关命令或者重新启用粘滞MAC地址特性。 建议检查设备的粘滞MAC地址配置，确认是否启用了该特性，以及是否需要手动更新安全MAC绑定。如果需要进一步的帮助，请提供更多的设备配置信息和具体问题描述。
- 2025-05-16回答
- 评论(2)
- 举报
-
(0)
目前就是他不自动生成安全mac了，但是正常的mac地址表能看到，安全mac地址表没有，接口下也不生成port-security mac-address security sticky XXXX-XXXX-XXXX vlan 100这条命令了。
根据配置信息和端口安全机制，可能原因为：
端口模式切换：当学习到的安全MAC地址达到max-mac-count=1后，端口模式会自动从autoLearn切换为secure模式。此时：
- 已学习的安全MAC会被保留为Sticky MAC
- 新到达的MAC地址不会生成新的安全MAC绑定
- 但交换机仍会通过正常MAC学习机制生成动态MAC表项（在display mac-address中可见）
安全MAC类型差异：通过display port-security mac-address security查看时：
- 只有通过端口安全机制学习/绑定的Sticky MAC才会显示
- 普通动态学习到的MAC地址不会出现在安全MAC表中
老化机制影响：当配置了port-security timer autolearn aging参数时：
- Sticky MAC会按照定时老化机制自动删除
- 删除后若端口仍处于secure模式，新MAC只会生成普通动态表项
验证方法：
[Device] display port-security interface gigabitethernet 1/0/1
查看以下关键字段：
Port mode : autoLearn/secure（当前模式）
Current secure MAC addresses : 已学习数量
Security MAC address attribute中的Learning mode : Sticky/Dynamic
建议检查：
- 当前端口是否已处于secure模式
- 安全MAC地址数量是否已满
- 是否配置了port-security mac-address dynamic命令将Sticky MAC转换为动态类型
- 是否启用了其他安全功能（如IP Source Guard）覆盖了端口安全行为
- 2025-05-16回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明