AP，端口安全

接口下只能允许一个MAC通过，一般配置在接入PC这块

集中转发没影响，接ap的口不建议配置这个 

交换机上联胖 AP 端口配置 port‑security max‑mac‑count 1 说明
组网：交换机 G1/0/21 Trunk 口接胖 AP，配置port‑security max‑mac‑count 1。
疑问：是不是代表这个接口只允许 1 台无线终端上网？
✅结论：不是限制 1 台无线终端；该限制是针对端口学习到的 MAC 地址数量，限制的是【进入交换机端口的源 MAC】，不是限制 AP 后面带多少无线 STA 终端。
原理拆解
胖 AP 工作模式：
所有无线手机、电脑终端的流量，全部经过胖 AP 做二层转发，从 AP 的 LAN 口发出，所有无线终端报文的源 MAC，仍然是各个无线终端自己真实 MAC 地址，不是被 NAT 成 AP 的 MAC。
交换机 Trunk 上联口收到报文：
每一台无线终端发出的帧，源 MAC 都是终端自身 MAC。
例如 AP 下接 10 个手机，交换机 G1/0/21 接口会学习到10 条不同的终端 MAC 地址。
port‑security max‑mac‑count 1含义：该端口最多只允许学习 1 个安全 MAC 地址。
端口第一个上来的 MAC（大概率是胖 AP 自身的 MAC）被学习；
后续任何第二个 MAC（任意无线手机、电脑）从该端口进入交换机，直接触发端口安全违规动作，默认 shutdown 端口，AP 直接断网。
所以该配置用在胖 AP 上联口属于错误配置，会导致AP 只能自己通，只要有任何一台无线终端业务流量过来，交换机直接把端口 err‑disable 关闭，AP 整体掉线，并不是限制 1 个终端接入，而是直接把端口干掉。
区分两种 AP 模式
表格
AP 模式 报文源 MAC 行为 上联口能否配置 max‑mac‑count 1
胖 AP (FAT‑AP) 所有无线终端使用自己真实 MAC，交换机端口会学习大量 STA MAC ❌绝对不能配置 max‑mac‑count 1
FIT 瘦 AP（本地转发） 同样，终端真实 MAC 透传到交换机，端口学习大量 STA MAC ❌不能配置 max‑mac‑count 1
FIT 瘦 AP（集中转发） 终端流量 CAPWAP 隧道封装，交换机上只能看到 AP 一个 MAC 地址 ✅这种场景才可以配置 max‑mac‑count 1，只允许 AP 的 MAC
只有AC 集中转发（隧道模式），所有终端业务被封装在 CAPWAP 隧道，交换机端口只能看到 AP 的 MAC，这时上联口设置 max‑mac‑count 1 才有意义，仅保护 AP 本身，防止非法设备接在该端口。
胖 AP、瘦 AP 本地转发，都不能配置 max‑mac‑count 1。
现场修正配置（胖 AP 上联 Trunk 口）
方案 1：直接删除端口安全配置（推荐胖 AP 上联口）
shell
interface GigabitEthernet1/0/21
undo port‑security max‑mac‑count
undo port‑security
胖 AP 上联口不需要 port‑security，端口安全适合接 PC 终端的 access 接入口。
方案 2：如果你想防止该交换机端口私接小路由器 / 交换机（保留端口安全）
不限制 MAC 学习数量，使用port‑security allow‑secure‑mac‑only + 静态手工绑定胖 AP 的 MAC 地址，只允许 AP 设备接入，允许 AP 后面无限多无线终端 MAC 学习。
shell
interface GigabitEthernet 1/0/21
port‑security
port‑security secure‑mac‑address xxxx‑xxxx‑xxxx vlan 701
port‑security max‑mac‑count 100 #放大最大MAC学习数量，容纳所有无线终端
port‑security allow‑secure‑mac‑only
作用：端口上来的第一个设备必须是这个 AP 的 MAC；其他非法设备（电脑、私接路由器）插上端口直接阻断，但是 AP 转发过来的大量无线终端 MAC 可以正常学习转发。
端口安全违规故障排查命令
如果已经出现端口被 err‑disable 关闭：
shell
display interface brief
display port‑security
display errdisable recovery
#开启自动恢复，测试
errdisable recovery cause port‑security