S5590EI可以关闭部分端口的port‑defend白名单中吗

现有两种替代实现方案

方案 1：攻击防范例外 ACL（推荐，放行来自该端口接入设备的报文）

原理：不能按 “端口” 排除，但可以按源 IP / 源 MAC做例外，匹配的报文上送 CPU 时跳过 port‑defend 防攻击检测，实现等效 “放过这个端口接入设备”H3C。

1. 创建 ACL，放行该端口下联设备的源 IP；

2. 进入攻击防范策略，把 ACL 作为例外列表：

3. 在对应接口应用该 policy：

⚠️注意：exempt acl只对上送 CPU 报文生效，普通转发流量不受影响；ACL 仅生效匹配字段：源 IP、目的 IP、源端口、目的端口、协议号，其他匹配项会被忽略H3C。

方案 2：调整 port‑defend 全局阈值（不推荐）

全局调大 flood/scan 告警阈值，会对全部端口生效，风险是整台设备防攻击能力下降，只能应急，不能只针对单端口。

容易混淆的点区分

1. ❌不能：interface X；undo port‑defend enable，没有这条接口命令，port‑defend 只有全局使能。
2. 不要和whitelist object‑group混淆：whitelist 是黑名单功能配套，同样基于 IP 地址对象组，也不能基于物理接口做白名单H3C。
3. 区分【port‑security 端口安全】：port‑security 是二层端口接入安全，这个是可以每个端口独立开关 / 配置；而 port‑defend 是 CPU 本机防攻击，全局机制，二者完全不同。

排错查看命令

建议

• 如果是某一个端口接入特殊设备（如测试仪器、组播源、扫描类设备）触发 port‑defend 误拦截，优先使用【方案 1 例外 ACL】，匹配该设备源 IP，跳过 CPU 防攻击检测。
• 如果该接口几乎没有报文需要上送 CPU，尽量把业务报文做硬件转发，不上送 CPU，自然不会触发 port‑defend 检测。

补充：老 V5 平台部分设备有 port‑defend 接口白名单能力，S5590‑EI Com