无法配置端口安全的场景有哪些
⑴ 交换机端口安全问题有哪些
稍微引申下端口安全，就是可以根据802.1X来控制网络的访问流量。 首先谈一下MAC地址与端口绑定，以及根据MAC地址允许流量的配置。 1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时 ，交换机相应的端口将down掉。当给端口指定MAC地址时，端口模式必须为access或者Trunk状态。 3550-1#conf t 3550-1(config)#int f0/1 3550-1(config-if)#switchport mode access /指定端口模式。 3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。 3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。 3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。 2.通过MAC地址来限制端口流量，此配置允许一TRUNK口最多通过100个MAC地址，超过100时，但来自新的主机的数据帧将丢失。 3550-1#conf t 3550-1(config)#int f0/1 3550-1(config-if)#switchport trunk encapsulation dot1q 3550-1(config-if)#switchport mode trunk /配置端口模式为TRUNK。 3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。 3550-1(config-if)#switchport port-security violation protect /当主机MAC地址数目超过100时，交换机继续工作，但来自新的主机的数据帧将丢失。 上面的配置根据MAC地址来允许流量，下面的配置则是根据MAC地址来拒绝流量。 1.此配置在Catalyst交换机中只能对单播流量进行过滤，对于多播流量则无效。 3550-1#conf t 3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的Vlan丢弃流量。 3550-1#conf t 3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。 理解端口安全： 当你给一个端口配置了最大安全mac地址数量，安全地址是以一下方式包括在一个地址表中的： ·你可以配置所有的mac地址使用 switchport port-security mac-address ·你也可以允许动态配置安全mac地址，使用已连接的设备的mac地址。 ·你可以配置一个地址的数目且允许保持动态配置。 注意：如果这个端口shutdown了，所有的动态学的mac地址都会被移除。 一旦达到配置的最大的mac地址的数量，地址们就会被存在一个地址表中。设置最大mac地址数量为1，并且配置连接到设备的地址确保这个设备独占这个端口的带宽。 当以下情况发生时就是一个安全违规： ·最大安全数目mac地址表外的一个mac地址试图访问这个端口。 ·一个mac地址被配置为其他的接口的安全mac地址的站点试图访问这个端口。 你可以配置接口的三种违规模式，这三种模式基于违规发生后的动作： ·protect-当mac地址的数量达到了这个端口所最大允许的数量，带有未知的源地址的包就会被丢弃，直到删除了足够数量的mac地址，来降下最大数值之后才会不丢弃。 ·restrict-一个限制数据和并引起"安全违规"计数器的增加的端口安全违规动作。 ·shutdown-一个导致接口马上shutdown，并且发送SNMP陷阱的端口安全违规动作。当一个安全端口处在error-disable状态，你要恢复正常必须得敲入全局下的errdisable recovery cause psecure-violation 命令，或者你可以手动的shut再no shut端口。这个是端口安全违规的默认动作。 默认的端口安全配置： 以下是端口安全在接口下的配置- 特性：port-sercurity 默认设置：关闭的。 特性：最大安全mac地址数目 默认设置：1 特性：违规模式 默认配置：shutdown，这端口在最大安全mac地址数量达到的时候会shutdown，并发snmp陷阱。 下面是配置端口安全的向导- ·安全端口不能在动态的access口或者trunk口上做，换言之，敲port-secure之前必须的是switch mode acc之后。 ·安全端口不能是一个被保护的口。 ·安全端口不能是SPAN的目的地址。 ·安全端口不能属于GEC或FEC的组。 ·安全端口不能属于802.1x端口。如果你在安全端口试图开启802.1x，就会有报错信息，而且802.1x也关了。如果你试图改变开启了802.1x的端口为安全端口，错误信息就会出现，安全性设置不会改变。 最后说一下802.1X的相关概念和配置。 802.1X身份验证协议最初使用于无线网络，后来才在普通交换机和路由器等网络设备上使用。它可基于端口来对用户身份进行认证，即当用户的数据流量企图通过配置过802.1X协议的端口时，必须进行身份的验证，合法则允许其访问网络。这样的做的好处就是可以对内网的用户进行认证，并且简化配置，在一定的程度上可以取代Windows 的AD。 配置802.1X身份验证协议，首先得全局启用AAA认证，这个和在网络边界上使用AAA认证没有太多的区别，只不过认证的协议是802.1X;其次则需要在相应的接口上启用802.1X身份验证。(建议在所有的端口上启用802.1X身份验证，并且使用radius服务器来管理用户名和密码) 下面的配置AAA认证所使用的为本地的用户名和密码。 3550-1#conf t 3550-1(config)#aaa new-model /启用AAA认证。 3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证，并使用本地用户名与密码。 3550-1(config)#int range f0/1 -24 3550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。 后记 通过MAC地址来控制网络的流量既可以通过上面的配置来实现，也可以通过访问控制列表来实现，比如在Cata3550上可通过700-799号的访问控制列表可实现MAC地址过滤。但是利用访问控制列表来控制流量比较麻烦，似乎用的也比较少，这里就不多介绍了。在可控性，可管理性上802.1X都是不错的选择
⑵ 在思科交换机上配置端口安全性发生违规时，在接口上配置的哪种冲突模式将导致丢弃具有未知源地址的数据包
保护和限制都会丢弃未知源地址包。
1、protect 模式，当违规 时，只丢弃违规的数据流量，不违规的正常转发，而且不会通知有流量违规，也就是不会发送SNMP trap ；
2、restrict 模式， 当违规时，只丢弃违规的流量，不违规的正常转发，但它会产生流量违规通知，发送SNMP trap，并且会记录日志；
3、shutdown，这个是默认模式，当违规时，将接口变成error-disabled并shut down，并且接口LED灯会关闭，也会发SNMP trap，并会记录syslog。
⑶ 交换机端口安全的作用
交换机端口有在交换机上做mac地址绑定、端口+mac+ip绑定，是为了防止arp攻击、dhcp攻击。。acl有基于ip的基于mac的访问限制。基于MAC地址限制、允许客户端流量;避免MAC地址扩散攻击;避免MAC地址欺骗攻击（主机使用虚假MAC地址发送非法数据）。
端口安全功能适用于用户希望控制端口下接入用户的IP和MAC必须是管理员指定的合法用户才能使用网络，或者希望使用者能够在固定端口下上网而不能随意移动，变换IP/MAC或者端口号，或控制端口下的用户MAC数。
防止MAC地址耗尽攻击（病毒发送持续变化的构造出来的MAC地址，导致交换机短时间内学习了大量无用的MAC地址，8K/16K地址表满掉后无法学习合法用户的MAC，导致通信异常）的场景。
(3)无法配置端口安全的场景有哪些扩展阅读：
当使用1X认证配合我司SU/SA客户端的场景中，可以使用授权绑定或DHCP Snooping+IP Source Guard组合更智能的方式实现安全控制。端口安全可以配合ARP-Check可以实现静态IP环境下的防范ARP欺骗，可以参考静态IP环境防ARP欺骗
端口安全：端口安全功能通过定义报文的源MAC地址来限定报文是否可以进入交换机的端口，你可以静态设置特定的MAC地址或者限定动态学习的MAC地址的个数来控制报文是否可以进入端口，使能端口安全功能的端口称为安全端口。
只有源MAC地址为端口安全地址表中配置或者学习到的MAC地址的报文才可以进入交换机通信，其他报文将被丢弃。
⑷ 交换机端口安全主要有那两种方式端口地址绑定可以预防哪些内网的网络攻击
防止局域网ARP攻击。
限制交换机端口的最大连接数 ,控制网络的恶意扩展和接入，端口的安全地址绑定, 解决局域网中IP地址冲突、ARP欺骗等问题。
VLAN具备一个物理网段所具备的特性。相同的VLAN内的主机可以相互直接访问，不同的VLAN间的主机之间互相访问必须经由路由设备进行转发，广播包只可以在本VLAN内进行传播，不能传输到其他VLAN中。
(4)无法配置端口安全的场景有哪些扩展阅读：
注意事项：
应该做好外部电源的供应工作，一般通过引入独立的电力线来提供独立的电源，并添加稳压器来避免瞬间高压或低压现象。
如果条件允许，可以添加UPS(不间断电源)来保证交换机的正常供电，有的UPS提供稳压功能，而有的没有，选择时要注意。
在机房内设置专业的避雷措施，来避免雷电对交换机的伤害。现在有很多做避雷工程的专业公司，实施网络布线时可以考虑。
⑸ 目前电脑中的哪些端口不安全，最好关闭
xp/2k/2003下手动关闭危险的端口
怎样关闭端口
默认情况下windows有很多端口是开放的.在你上网的时候,网络病毒和黑客可以通过这些端口连上你的电脑.所以应该关闭.主要有tcp 135 ,139,445,593,1025端口和udp135,137,138,445 端口,一些流行病毒的后门端口,如tcp 2745,3127,6129端口,以及远程服务访问端口3389.
下面介绍如何在xp/2k/2003下手动关闭这些网络端口.
1 、
点击 "开始菜单/设置/控制面板/管理工具",双击打开"本地策略",选中"ip安全策略,在本地计算机"右边的空白位置右击鼠标,谈出快捷菜单,选择"创建 ip安全策略",弹出向导.在向导中点击下一步下一步,当显示"安全通信请求"画面时,把"激活默认相应规则"左边的钩去掉,点"完成"就创建了一个新的 ip安全策略.
2 、
右击该ip安全策略,在"属性"对话框中，把"使用添加向导"左边的钩去掉,然后再点击右边的"添加"按纽添加新的规则,随后弹出"新规则属性" 对话框,在画面上点击"添加"按纽,弹出ip筛选器列表窗口.在列表中,首先把"使用添加向导"左边的钩去掉,然后再点击右边的"添加"按纽添加新的筛选器.
3 、
进入"筛选器属性'对话框,首先看到的是寻地址,源地址选"任何ip地址",目标地址选"我的ip地址",点击"协议"选项卡,在"选择协议类型"的下拉列表中选择“tcp",然后在"到此端口"的下的文本框中输入"135",点击确定.这样就添加了一个屏蔽tcp135 端口的筛选器,可以防止外界通过135端口连上你的电脑.
点击确定后回到筛选器列表的对话框,可以看到已经添加了一条策月.重复以上步骤继续添加tcp 137 139 445 593 端口和udp 135 139 445 端口,为它们建立相应的筛选器.
重复以上步骤添加tcp 125 2745 3127 6129 3389 端口的屏蔽策月,建立好上述端口的筛选器,最后点击确定按纽.
4 、
在"新规则属性"对话框中,选择"新ip筛选器列表'然后点击其左边的复选框,表示已经激活.最后点击"筛选器操作"选项卡中,把"使用添加向导"左边的钩去掉,点击"添加"按钮,进行"阻止"操作,在"新筛选器操作属性"的"安全措施"选项卡中,选择"阻止",然后点击"确定"
5 、
进入"新规则属性"对话框,点击"新筛选器操作".,选取左边的复选框,表示已经激活,点击"关闭"按钮,关闭对话框.最后"新ip安全策月属性"对话框,在"新的ip筛选器列表"左边打钩,按确定关闭对话框.在"本地安全策月"窗口,用鼠标右击新添加的ip安全策月,然后选择"指派".
重新启动后,上述端口就可以关闭了!电脑就安全多了!!!
怎样关闭端口？
每一项服务都对应相应的端口，比如众如周知的WWW服务的端口是80，smtp是25，ftp是21，win2000安装中默认的都是这些服务开启的。对于个人用户来说确实没有必要，关掉端口也就是关闭无用的服务。“控制面板”的“管理工具”中的“服务”中来配置。
1、关闭7.9等等端口：关闭SimpleTCP/IPService,支持以下TCP/IP服务：CharacterGenerator,Daytime,Discard,Echo,以及QuoteoftheDay。
2、关闭80口：关掉WWW服务。在“服务”中显示名称为"WorldWideWebPublishingService"，通过Internet信息服务的管理单元提供Web连接和管理。
3、关掉25端口：关闭SimpleMailTransportProtocol(SMTP)服务，它提供的功能是跨网传送电子邮件。
4、关掉21端口：关闭FTPPublishingService,它提供的服务是通过Internet信息服务的管理单元提供FTP连接和管理。
5、关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。
6、还有一个很重要的就是关闭server服务，此服务提供RPC支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，比如ipc$、c$、admin$等等，此服务关闭不影响您的共他操作。
7、还有一个就是139端口，139端口是NetBIOSSession端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。
关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。
我们一般采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，但是有些用户不具备上述条件。怎么办呢？下面就介绍一种简易的办法——通过限制端口来帮助大家防止非法入侵。
非法入侵的方式
简单说来，非法入侵的方式可粗略分为4种：
1、扫描端口，通过已知的系统Bug攻入主机。
2、种植木马，利用木马开辟的后门进入主机。
3、采用数据溢出的手段，迫使主机提供后门进入主机。
4、利用某些软件设计的漏洞，直接或间接控制主机。
非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。
因此，如果能限制前两种非法入侵方式，就能有效防止利用黑客工具的非法入侵。而且前两种非法入侵方式有一个共同点，就是通过端口进入主机。
端口就像一所房子(服务器)的几个门一样，不同的门通向不同的房间(服务器提供的不同服务)。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。但是有些马虎的网络管理员常常打开一些容易被侵入的端口服务，比如139等；还有一些木马程序，比如冰河、BO、广外等都是自动开辟一个您不察觉的端口。那么，只要我们把自己用不到的端口全部封锁起来，不就杜绝了这两种非法入侵吗？
每一项服务都对应相应的端口，比如众如周知的WWW服务的端口是80，smtp是25，ftp是21，win2000安装中默认的都是这些服务开启的。对于个人用户来说确实没有必要，关掉端口也就是关闭无用的服务。“控制面板”的“管理工具”中的“服务”中来配置。
“控制面板”的“管理工具”中的“服务”中来配置。
我们一般采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，但是有些用户不具备上述条件。怎么办呢？下面就介绍一种简易的办法——通过限制端口来帮助大家防止非法入侵。
非法入侵的方式
简单说来，非法入侵的方式可粗略分为4种：
1、扫描端口，通过已知的系统Bug攻入主机。
2、种植木马，利用木马开辟的后门进入主机。
3、采用数据溢出的手段，迫使主机提供后门进入主机。
4、利用某些软件设计的漏洞，直接或间接控制主机。
非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。
因此，如果能限制前两种非法入侵方式，就能有效防止利用黑客工具的非法入侵。而且前两种非法入侵方式有一个共同点，就是通过端口进入主机。
端口就像一所房子(服务器)的几个门一样，不同的门通向不同的房间(服务器提供的不同服务)。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。但是有些马虎的网络管理员常常打开一些容易被侵入的端口服务，比如139等；还有一些木马程序，比如冰河、BO、广外等都是自动开辟一个您不察觉的端口。那么，只要我们把自己用不到的端口全部封锁起来，不就杜绝了这两种非法入侵吗？
限制端口的方法
对于个人用户来说，您可以限制所有的端口，因为您根本不必让您的机器对外提供任何服务；而对于对外提供网络服务的服务器，我们需把必须利用的端口(比如WWW端口80、FTP端口21、邮件服务端口25、110等)开放，其他的端口则全部关闭。
这里，对于采用Windows2000或者WindowsXP的用户来说，不需要安装任何其他软件，可以利用“TCP/IP筛选”功能限制服务器的端口。具体设置如下：
1、右键点击“网上邻居”，选择“属性”，然后双击“本地连接”(如果是拨号上网用户，选择“我的连接”图标)，弹出“本地连接状态”对话框。
2、点击[属性]按钮，弹出“本地连接属性”，选择“此连接使用下列项目”中的“Internet协议(TCP/IP)”，然后点击[属性]按钮。
3、在弹出的“Internet协议(TCP/IP)”对话框中点击[高级]按钮。在弹出的“高级TCP/IP设置”中，选择“选项”标签，选中“TCP/IP筛选”，然后点击[属性]按钮。
4、在弹出的“TCP/IP筛选”对话框里选择“启用TCP/IP筛选”的复选框，然后把左边“TCP端口”上的“只允许”选上。
这样，您就可以来自己添加或删除您的TCP或UDP或IP的各种端口了。
添加或者删除完毕，重新启动机器以后，您的服务器就被保护起来了。
如果只上网浏览的话，可以不添加任何端口。但是要利用一些网络联络工具，比如OICQ的话，就要把“4000”这个端口打开，同理，如果发现某个常用的网络工具不能起作用的时候，请搞清它在您主机所开的端口，然后在“TCP/IP筛选”中添加端口即可。
⑹ 思科三层交换机端口安全怎么配置
常用命令：
第一种用法：限制第一个白名单MAC地址，则其他MAC地址流量进入则自动关闭端口
enable
configure terminal
interface fastethernet0/1
switchport port-security /开启端口安全
switchport port-security maximum 1 /启动白名单MAC地址只有一个
switchport port-security violation shutdown /如果不是该MAC，那么此端口自动关闭
第二种，MAC端口安全静态绑定
enable
configure terminal
interface fastethernet0/1
switchport port-security
switchport port-security mac-address 0060.2F06.88D8 /MAC端口静态绑定
switchport port-security violation shutdown /如果不是该MAC的流量，则自动关闭端口
⑺ 写出网络中不安全端口，以及对应不安全端口的不安全因素
容易受攻击的端口号：
135端口开放实际上是一个WINNT漏洞,开放的135的端口情况容易引起自外部的”Snork”攻击;
139端口,NetBIOS提供服务的tcp端口;
445端口，端口说明:用来传输文件和NET远程管理，端口漏洞:黑客喜欢扫描扫描的漏洞,也是震荡病毒扫描的.
554端口 ，端口说明：554端口默认情况下用于“Real Time Streaming Protocol”（实时流协议，简称RTSP）。端口漏洞：目前，RTSP协议所发现的漏洞主要就是RealNetworks早期发布的Helix Universal Server存在缓冲区溢出漏洞，相对来说，使用的554端口是安全的。
1029端口和20168端口： 端口说明:这两个端口是lovgate蠕虫所开放的后门端口。
1080端口 端口说明：1080端口是Socks代理服务使用的端口，大家平时上网使用的WWW服务使用的是HTTP协议的代理服务。
3389端口， 首先说明3389端口是windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。
4899端口，首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的.
4000端口，端口说明：4000端口是用于大家经常使用的qq聊天工具的，再细说就是为qq客户端开放的端口，qq服务端使用的端口是8000。
5554端口。 端口说明一种针对微软lsass服务的新蠕虫病毒——震荡波（Worm.Sasser），该病毒可以利用TCP 5554端口开启一个FTP服务，主要被用于病毒的传播。
5632端口 端口说明：5632端口是被大家所熟悉的远程控制软件pcAnywhere所开启的端口，分TCP和UDP两种，通过该端口可以实现在本地计算机上控制远程计算机，查看远程计算机屏幕，进行文件传输，实现文件同步传输。
⑻ 交换机端口安全 违反交换机端口安全规则分别有哪些惩罚措施
那么启动惩罚措施 当在一个Port-Security接口上配置了某个安全地址，而这个安全地址... 交换机端口安全 总结（配置实例） 各种 交换机端口安全
⑼ 交换机端口安全问题有哪些
交换机端口安全总结
最常用的对端口安全的理解就是可根据MAC地址来做对网络流量的控制和管理，比如MAC地址与具体的端口绑定，限制具体端口通过的MAC地址的数量，或者在具体的端口不允许某些MAC地址的帧流量通过。稍微引申下端口安全，就是可以根据802.1X来控制网络的访问流量。
首先谈一下MAC地址与端口绑定，以及根据MAC地址允许流量的配置。
1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时 ，交换机相应的端口将down掉。当给端口指定MAC地址时，端口模式必须为access或者Trunk状态。
3550-1#conf t
3550-1(config)#int f0/1
3550-1(config-if)#switchport mode access /指定端口模式。
3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。
3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。
3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。
2.通过MAC地址来限制端口流量，此配置允许一TRUNK口最多通过100个MAC地址，超过100时，但来自新的主机的数据帧将丢失。
3550-1#conf t
3550-1(config)#int f0/1
3550-1(config-if)#switchport trunk encapsulation dot1q
3550-1(config-if)#switchport mode trunk /配置端口模式为TRUNK。
3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。
3550-1(config-if)#switchport port-security violation protect /当主机MAC地址数目超过100时，交换机继续工作，但来自新的主机的数据帧将丢失。
上面的配置根据MAC地址来允许流量，下面的配置则是根据MAC地址来拒绝流量。
1.此配置在Catalyst交换机中只能对单播流量进行过滤，对于多播流量则无效。
3550-1#conf t
3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的Vlan丢弃流量。
3550-1#conf t
3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。
理解端口安全：
当你给一个端口配置了最大安全mac地址数量，安全地址是以一下方式包括在一个地址表中的：
·你可以配置所有的mac地址使用 switchport port-security mac-address
·你也可以允许动态配置安全mac地址，使用已连接的设备的mac地址。
·你可以配置一个地址的数目且允许保持动态配置。
注意：如果这个端口shutdown了，所有的动态学的mac地址都会被移除。
一旦达到配置的最大的mac地址的数量，地址们就会被存在一个地址表中。设置最大mac地址数量为1，并且配置连接到设备的地址确保这个设备独占这个端口的带宽。
当以下情况发生时就是一个安全违规：
·最大安全数目mac地址表外的一个mac地址试图访问这个端口。
·一个mac地址被配置为其他的接口的安全mac地址的站点试图访问这个端口。
你可以配置接口的三种违规模式，这三种模式基于违规发生后的动作：
·protect-当mac地址的数量达到了这个端口所最大允许的数量，带有未知的源地址的包就会被丢弃，直到删除了足够数量的mac地址，来降下最大数值之后才会不丢弃。
·restrict-一个限制数据和并引起"安全违规"计数器的增加的端口安全违规动作。
·shutdown-一个导致接口马上shutdown，并且发送SNMP陷阱的端口安全违规动作。当一个安全端口处在error-disable状态，你要恢复正常必须得敲入全局下的errdisable recovery cause psecure-violation 命令，或者你可以手动的shut再no shut端口。这个是端口安全违规的默认动作。
默认的端口安全配置：
以下是端口安全在接口下的配置-
特性：port-sercurity 默认设置：关闭的。
特性：最大安全mac地址数目 默认设置：1
特性：违规模式 默认配置：shutdown，这端口在最大安全mac地址数量达到的时候会shutdown，并发snmp陷阱。
下面是配置端口安全的向导-
·安全端口不能在动态的access口或者trunk口上做，换言之，敲port-secure之前必须的是switch mode acc之后。
·安全端口不能是一个被保护的口。
·安全端口不能是SPAN的目的地址。
·安全端口不能属于GEC或FEC的组。
·安全端口不能属于802.1x端口。如果你在安全端口试图开启802.1x，就会有报错信息，而且802.1x也关了。如果你试图改变开启了802.1x的端口为安全端口，错误信息就会出现，安全性设置不会改变。
最后说一下802.1X的相关概念和配置。
802.1X身份验证协议最初使用于无线网络，后来才在普通交换机和路由器等网络设备上使用。它可基于端口来对用户身份进行认证，即当用户的数据流量企图通过配置过802.1X协议的端口时，必须进行身份的验证，合法则允许其访问网络。这样的做的好处就是可以对内网的用户进行认证，并且简化配置，在一定的程度上可以取代Windows 的AD。
配置802.1X身份验证协议，首先得全局启用AAA认证，这个和在网络边界上使用AAA认证没有太多的区别，只不过认证的协议是802.1X;其次则需要在相应的接口上启用802.1X身份验证。(建议在所有的端口上启用802.1X身份验证，并且使用radius服务器来管理用户名和密码)
下面的配置AAA认证所使用的为本地的用户名和密码。
3550-1#conf t
3550-1(config)#aaa new-model /启用AAA认证。
3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证，并使用本地用户名与密码。
3550-1(config)#int range f0/1 -24
3550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。
后记
通过MAC地址来控制网络的流量既可以通过上面的配置来实现，也可以通过访问控制列表来实现，比如在Cata3550上可通过700-799号的访问控制列表可实现MAC地址过滤。但是利用访问控制列表来控制流量比较麻烦，似乎用的也比较少，这里就不多介绍了。
通过MAC地址绑定虽然在一定程度上可保证内网安全，但效果并不是很好，建议使用802.1X身份验证协议。在可控性，可管理性上802.1X都是不错的选择
⑽ Cisco交换机配置端口安全，端口被shutdown后无法手动启动怎么办
端口安全不是真正的shutdown，状态应该是error disable的状态吧。
你需要先打shutdown，然后再no shutdown
这样就好了