问

交换机如何防止终端私接路由器

2026-03-25提问

0关注
0收藏，272浏览

一只小菜鸡

一只小菜鸡零段

粉丝：0人关注：0人

问题描述：

核心交换机 H3C S7506X-G

汇聚交换机H3C S6520X-54QC-EI

接入交换机H3C S5130S-28S-EI

最佳答案

刘浩存

刘浩存七段

粉丝：10人关注：1人

方案一：接入层开启DHCP Snooping（防止LAN口私接）

这是最核心、最基础的防私接手段。通过在接入交换机S5130S-28S-EI上开启DHCP Snooping，将所有下联口设置为“非信任端口”，只允许上联口（连接汇聚交换机）的DHCP响应报文通过，从而彻底阻断私接路由器发出的非法DHCP。

配置步骤（在S5130S-28S-EI上）：

system-view

# 1. 全局开启DHCP Snooping dhcp snooping enable

# 2. 进入上联口（连接汇聚交换机的端口，假设为G1/0/24） interface gigabitethernet 1/0/24

# 将该端口设置为信任端口，只允许此端口接收的DHCP响应报文 dhcp snooping trust

quit

# 3. （可选）在用户侧端口记录DHCP绑定信息，便于溯源 interface range gigabitethernet 1/0/1 to gigabitethernet 1/0/22

dhcp snooping binding record

quit

# 保存配置 save

注意：接入交换机的上联口必须设置为dhcp snooping trust，否则终端无法从合法的核心DHCP服务器获取IP地址。如果汇聚交换机S6520X-54QC-EI也开启了DHCP Snooping，同样需要将其上联口（连接核心）设为信任口。

方案二：接入层配置端口安全（防止WAN口私接+MAC泛洪）

端口安全可以限制每个接入端口允许学习的MAC地址数量，并配合入侵检测功能，有效防止私接路由器（一个端口下挂多个终端）以及MAC地址泛洪攻击。

2.1 限制端口MAC地址数量（推荐）

将用户侧端口允许的MAC地址数设为1-3个（根据实际场景，如办公室工位通常只有1台电脑+手机热点可能2个），超出则触发保护动作。

system-view

# 开启全局端口安全 port-security enable

# 进入用户侧端口配置 interface gigabitethernet 1/0/1

# 设置端口安全模式为autoLearn（自动学习安全MAC） port-security port-mode autoLearn

# 限制该端口最多学习2个MAC地址（根据实际需求调整） port-security max-mac-count 2

# （可选）超出限制后处理动作：shutdown端口（也可选protect或trap） port-security intrusion-mode shutdown

quit

# 批量应用到其他端口（可用端口范围命令） interface range gigabitethernet 1/0/1 to gigabitethernet 1/0/22

port-security port-mode autoLearn

port-security max-mac-count 2

port-security intrusion-mode shutdown

quit

安全模式说明：

autoLearn：端口自动学习MAC地址作为安全MAC，达到max-mac-count限制后自动转为secure模式，不再学习新MAC
intrusion-mode shutdown：发现非法报文（超过MAC限制的源MAC）时自动关闭端口，有效阻断私接路由器

2.2 更严格的配置：手工绑定固定MAC（适用于固定工位）

如果工位电脑MAC地址已知，可以手工绑定，彻底杜绝其他设备接入。

interface gigabitethernet 1/0/1

port-security port-mode secure

port-security mac-address security 0000-0000-0001 vlan 10

quit

3 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 四段

粉丝：2人关注：9人

在接入交换机S5130S上配置端口安全功能，结合DHCP Snooping和IP Source Guard。

关键配置步骤：
1. 开启DHCP Snooping：
dhcp snooping enable
vlan 10
dhcp snooping enable

2. 配置信任端口（上联口）：
interface GigabitEthernet 1/0/24
dhcp snooping trust

3. 在用户接入端口启用端口安全：
interface GigabitEthernet 1/0/1
port-security enable
port-security max-mac-count 2 //根据实际终端数量调整
port-security intrusion-mode blockmac //检测到违规后阻塞该MAC地址

4. （可选）启用IP Source Guard增强防护：
interface GigabitEthernet 1/0/1
ip source guard enable

原理：通过限制端口学习MAC地址数量，防止私接路由器接入多台终端；结合DHCP Snooping只允许从合法DHCP服务器获取地址，阻断私接路由器的DHCP服务。

注意：配置变更前请备份配置文件。