設定及驗證 Port Security
Configure and Verify Port Security
以sticky MAC與violation restrict限制接入埠來源，觀察違規計數而非拔線猜測。
基本拓撲 TOPOLOGY
原創示意圖 · 靜態拓撲設備與位址 ADDRESSING
先確認介面名稱，再開始設定| 設備 DEVICE | 介面 | IPv4 位址 | 子網路遮罩 | 預設閘道 |
|---|---|---|---|---|
| PC1 | Ethernet | 192.168.27.10 | 255.255.255.0 | 192.168.27.1 |
| PC2 | Ethernet | 192.168.27.20 | 255.255.255.0 | 192.168.27.1 |
| R1 | Gi0/0 | 192.168.27.1 | 255.255.255.0 | — |
查看線路對照表（3 條連線）
| 起點 | 終點 | 介面對照 |
|---|---|---|
| pc1 | sw1 | Ethernet ↔ Fa0/1（先接合法PC） |
| pc2 | sw1 | 替換同一Fa0/1測試，不能同時直連 |
| sw1 | r1 | Fa0/24 ↔ Gi0/0 · gateway |
這次練習，你會學到
- 在靜態access埠啟用port-security。
- 辨識secure/sticky MAC與maximum。
- 比較restrict與shutdown的實際影響。
開始之前
- 具備本題涉及的 IPv4/IPv6 與子網路基礎，能在自己的隔離練習環境開啟 Console。
- 使用合法設備與軟體映像，先備份現有設定，介面名稱以自己的裝置為準。
適用環境與驗證狀態
Catalyst 2960 / IOS 15.x待驗證原創教案，尚未於實體設備驗證。依實際硬體、IOS/AireOS 版本與授權核對命令；介面名稱不可直接套用至正式設備。
循序操作 STEP BY STEP
在你自己的練習環境操作。命令複製不包含提示字元；所有輸出皆為示例。
01 建立接入埠基準
先只接PC1到SW1 Fa0/1，PC2暫不接。SW1 Fa0/24到R1 Gi0/0，R1設定192.168.27.1/24並no shutdown。PC按表設定。只在練習埠測試，不更改上行/trunk的port-security。
展開參考指令 SW1 · 介面設定
enable
configure terminal
vlan 27
interface range FastEthernet0/1 , FastEthernet0/24
switchport mode access
switchport access vlan 27
no shutdown
end先只接PC1到SW1 Fa0/1，PC2暫不接。SW1 Fa0/24到R1 Gi0/0，R1設定192.168.27.1/24並no shutdown。PC按表設定。只在練習埠測試，不更改上行/trunk的port-security。
查看預期結果 範例輸出，非真實執行
PC1先能ping192.168.27.1，Fa0/1為靜態access。02 啟用一個sticky來源與restrict
maximum1表示只允許一個secure MAC；restrict丟棄違規來源並增加計數/通知，通常不關整個介面。sticky只在學到合法來源後才有值，先確認PC1已接對。
展開參考指令 SW1 · 介面設定
configure terminal
interface FastEthernet0/1
switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
switchport port-security mac-address sticky
endmaximum1表示只允許一個secure MAC；restrict丟棄違規來源並增加計數/通知，通常不關整個介面。sticky只在學到合法來源後才有值，先確認PC1已接對。
查看預期結果 範例輸出，非真實執行
port-security enabled、max1、violation restrict。03 讓PC1送流量並核對sticky
PC1 ping gateway後查看secure MAC及running-config。確認MAC屬PC1，若接錯先不要保存。sticky寫入running-config，需copy保存才會在重啟後保留。
展開參考指令 SW1 · 特權 EXEC
show port-security interface FastEthernet0/1
show port-security address
show running-config interface FastEthernet0/1PC1 ping gateway後查看secure MAC及running-config。確認MAC屬PC1，若接錯先不要保存。sticky寫入running-config，需copy保存才會在重啟後保留。
查看預期結果 範例輸出，非真實執行
SecureSticky MAC為PC1來源，Secure-up，Current Address Count1。04 以PC2替換同一埠
拔除PC1，將PC2接到同一Fa0/1，使用不同真實NIC MAC，送ping。因sticky PC1仍存在，PC2來源應被restrict丟棄。此處不使用MAC偽造或攻擊；只在自己的兩台PC交換線材。
展開參考指令 SW1 · 特權 EXEC
show port-security interface FastEthernet0/1
show interfaces status
show logging拔除PC1，將PC2接到同一Fa0/1，使用不同真實NIC MAC，送ping。因sticky PC1仍存在，PC2來源應被restrict丟棄。此處不使用MAC偽造或攻擊；只在自己的兩台PC交換線材。
查看預期結果 範例輸出，非真實執行
violation counter可能增加，埠可仍connected/secure-up；PC2流量被拒絕。05 接回合法PC並辨識shutdown模式
接回PC1應恢復合法流量。若原政策為shutdown模式而進err-disabled，必須先排除違規來源，再依平台安全恢復；不要反覆no shutdown。此題不必為了展示而切換shutdown模式。
展開參考指令 SW1 · 特權 EXEC
show port-security interface FastEthernet0/1
show port-security address接回PC1應恢復合法流量。若原政策為shutdown模式而進err-disabled，必須先排除違規來源，再依平台安全恢復；不要反覆no shutdown。此題不必為了展示而切換shutdown模式。
查看預期結果 範例輸出，非真實執行
PC1合法MAC可通，PC2仍不在secure清單。06 保存或清除本題sticky
需要保留時copy保存；要更換合法設備，先在Console記錄實際sticky MAC，依show running-config顯示的完整sticky行加no移除該地址，不直接清空全交換器安全MAC。若撤銷功能，依原設定移除port-security並復原埠。
展開參考指令 SW1 · 特權 EXEC
copy running-config startup-config需要保留時copy保存；要更換合法設備，先在Console記錄實際sticky MAC，依show running-config顯示的完整sticky行加no移除該地址，不直接清空全交換器安全MAC。若撤銷功能，依原設定移除port-security並復原埠。
查看預期結果 範例輸出，非真實執行
保存的MAC為授權PC1；撤回時僅影響本題埠。確認你的設定 VERIFICATION
show port-security interface Fa0/1預期狀態 max1、restrict、secure MAC/violation計數符合測試。
restrict不必err-disable；不要以埠up判定安全政策無效。
合法/替換PC ping gateway預期狀態 合法PC可通，替換來源拒絕。
需先有健康基準與正確sticky MAC。
常見問題與排查
第一次學到錯誤MAC
停止流量、從Console核對並僅移除錯誤sticky行，接回合法PC再學。
接電話/下游交換器後違規
多MAC情境需不同設計；不要把max1直接套到語音+PC或多主機上行。
參考資料
依 CCNA v2.2 主題自行編寫之練習，非官方逐字教材。
發布版本 1 · 範例輸出供理解，指令尚待實機驗證。