Блог "Дети ОИТа"
/поиск

 · 1 181 слов · 6 мин чтения · автор Лопатин Михаил Евгеньевич ·

Port-security на коммутаторах Huawei

## Шаг 1. Зафиксировать назначение port-security `Port-security` ограничивает MAC-адреса, которые могут работать через порт.

Шаг 1. Зафиксировать назначение port-security

Port-security ограничивает MAC-адреса, которые могут работать через порт. На Huawei после включения port-security изученные MAC-адреса становятся secure MAC-адресами, а поведение при превышении лимита задается защитным действием.
Типовые задачи:

  • запретить подключение чужого устройства в рабочий порт;
  • зафиксировать MAC-адрес принтера, камеры, терминала или АРМ;
  • разрешить только один ПК на access-порту;
  • разрешить связку IP-телефон + ПК;
  • автоматически собрать текущие MAC-адреса и закрепить их через sticky MAC;
  • защититься от случайного подключения бытового коммутатора к пользовательскому порту.
    Типы secure MAC:
Тип Как появляется Поведение
Secure dynamic Автоматически после port-security enable Обычно не стареет по умолчанию. После перезагрузки может потребоваться повторное обучение.
Static secure Вручную через port-security mac-address Не стареет. Подходит для жесткой фиксации известного MAC-адреса.
Sticky MAC Автоматически или вручную после port-security mac-address sticky Сохраняется после save. Удобен для автоматического сбора адресов.

Шаг 2. Проверить ограничения и несовместимости

Перед внедрением проверь, нет ли на порту функций, конфликтующих с port-security.
Обычно port-security не совмещают с:

  • 802.1X;
  • MAC-аутентификацией;
  • NAC-профилями, если они уже управляют доступом;
  • MUX VLAN;
  • сценариями, где за портом находится неизвестное или большое количество MAC-адресов.
    Если доступ уже контролируется через 802.1X, MAC-auth или NAC, port-security не должен включаться поверх без проверки документации под конкретную модель и версию VRP.

Шаг 3. Выбрать, где port-security применять

Тип порта Рекомендация Типовой режим
Рабочее место с одним ПК Применять Sticky или ручная фиксация, max-mac-num 1
IP-телефон + ПК Применять аккуратно Sticky, max-mac-num 2 или 3
Принтер, камера, терминал, СКУД Применять жестко Ручная статическая фиксация, max-mac-num 1
Административный порт, iDRAC/iLO/OOB Применять жестко Ручная статическая фиксация, max-mac-num 1
Wi-Fi AP Зависит от схемы Обычно без port-security или лимит только на MAC самого AP
Сервер с одним физическим MAC Можно применять Ручная фиксация или sticky, лимит по факту
Гипервизор, сервер с VM, контейнеры Обычно не применять Только при точном списке MAC и лимитах
Межкоммутаторный trunk/uplink Обычно не применять Исключение только по отдельному проектному решению
Порт до маршрутизатора/firewall Обычно не применять жестко Только при известном количестве MAC/VRRP/HA
Не включай port-security на trunk/uplink без понимания всех MAC-адресов за портом. Иначе можно отрезать сегмент сети, HA-кластер, виртуализацию или несколько VLAN сразу.

Шаг 4. Выбрать защитное действие

Действие Поведение Где уместно
protect Отбрасывает лишний трафик без жесткой реакции Редко, когда не нужны события и диагностика
restrict Отбрасывает лишний трафик и оставляет порт включенным Рабочие места, первичное внедрение
shutdown / error-down Выключает порт при нарушении Принтеры, камеры, терминалы, критичные фиксированные подключения
На разных версиях VRP и разных линейках может использоваться shutdown или error-down. Проверь доступный вариант командой: 
[Huawei-GigabitEthernet0/0/1] port-security protect-action ?

port-security protect-action задает реакцию порта на превышение лимита MAC-адресов или нарушение port-security.

Шаг 5. Подготовить access-порт перед port-security

Пример для пользовательского порта в VLAN 10:

<Huawei> system-view
[Huawei] vlan batch 10
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] description USER_PC_PORT
[Huawei-GigabitEthernet0/0/1] shutdown
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10

system-view переводит CLI из пользовательского режима в режим системной конфигурации.
vlan batch создает одну или несколько VLAN одной командой.
interface переводит CLI в режим настройки конкретного интерфейса.
description добавляет административное описание порта.
shutdown административно выключает интерфейс на время настройки.
port link-type access переводит порт в access-режим.
port default vlan назначает access-порт в указанную VLAN.

Шаг 6. Включить port-security на порту

[Huawei-GigabitEthernet0/0/1] port-security enable

port-security enable включает port-security на интерфейсе. После этого MAC-адреса, изученные интерфейсом, обрабатываются как secure MAC-адреса.

Шаг 7. Настроить лимит MAC-адресов

Для одного ПК:

[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 1

port-security max-mac-num задает максимальное количество MAC-адресов, которые порт может изучить или принять в рамках port-security.
Для IP-телефона и ПК:

[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 2

Если через телефон проходит еще служебный MAC или используется нестандартная схема, ставь 3 только после проверки фактических MAC-адресов.

Шаг 8. Назначить защитное действие

Для мягкого внедрения:

[Huawei-GigabitEthernet0/0/1] port-security protect-action restrict

Для жесткой фиксации:

[Huawei-GigabitEthernet0/0/1] port-security protect-action shutdown

На платформах, где вместо shutdown используется error-down:

[Huawei-GigabitEthernet0/0/1] port-security protect-action error-down

Для массового внедрения на рабочих местах обычно безопаснее начинать с restrict, чтобы нарушение не выключало порт полностью.

Шаг 9. Сделать ручную статическую фиксацию MAC без автоматического набора

Сценарий: на порту должен работать только заранее известный MAC-адрес 5489-98aa-bbcc в VLAN 10.

[Huawei-GigabitEthernet0/0/1] port-security mac-address 5489-98aa-bbcc vlan 10
[Huawei-GigabitEthernet0/0/1] undo shutdown

port-security mac-address вручную добавляет static secure MAC-адрес на интерфейс.
undo shutdown административно включает интерфейс.
Важно:

  • порт должен быть выключен до внесения MAC, чтобы не успел изучить чужой адрес;
  • max-mac-num должен равняться количеству разрешенных MAC-адресов;
  • если разрешен один MAC, ставь max-mac-num 1;
  • если разрешены два MAC, вручную добавь оба и поставь max-mac-num 2;
  • не включай sticky MAC в этом сценарии, если не нужен автоматический сбор.
    Пример для двух статических MAC:
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 2
[Huawei-GigabitEthernet0/0/1] port-security mac-address 5489-98aa-bbcc vlan 10
[Huawei-GigabitEthernet0/0/1] port-security mac-address 00e0-fc11-2233 vlan 10
[Huawei-GigabitEthernet0/0/1] undo shutdown

Шаг 10. Сделать автоматический сбор адресов через sticky MAC

Сценарий: нужно разрешить текущий подключенный ПК без ручного ввода его MAC-адреса.

[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
[Huawei-GigabitEthernet0/0/1] undo shutdown

port-security mac-address sticky включает sticky MAC. Изученные на порту MAC-адреса становятся sticky MAC-адресами и сохраняются после сохранения конфигурации.
После подключения корректного устройства проверь, что адрес изучен:

[Huawei] display port-security interface GigabitEthernet0/0/1
[Huawei] display mac-address interface GigabitEthernet0/0/1

display port-security interface показывает состояние port-security на интерфейсе, лимит MAC-адресов, количество изученных адресов и защитное действие.
display mac-address interface показывает MAC-адреса, изученные через конкретный интерфейс.
После проверки сохрани конфигурацию:

[Huawei] save

save сохраняет текущую конфигурацию в startup-конфигурацию, чтобы настройки сохранились после перезагрузки.

Шаг 11. Сделать автоматический сбор адресов контролируемо

Безопасная схема для sticky:

<Huawei> system-view
[Huawei] vlan batch 10
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] description USER_PC_STICKY
[Huawei-GigabitEthernet0/0/1] shutdown
[Huawei-GigabitEthernet0/0/1] port link-type access
[Huawei-GigabitEthernet0/0/1] port default vlan 10
[Huawei-GigabitEthernet0/0/1] port-security enable
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num 1
[Huawei-GigabitEthernet0/0/1] port-security protect-action restrict
[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
[Huawei-GigabitEthernet0/0/1] undo shutdown
[Huawei-GigabitEthernet0/0/1] quit
[Huawei] display port-security interface GigabitEthernet0/0/1
[Huawei] display mac-address interface GigabitEthernet0/0/1
[Huawei] save

Подключай устройство только после применения настроек. Если до включения sticky в порт был воткнут неправильный клиент, коммутатор может закрепить не тот MAC.

Шаг 12. Сделать ручную sticky-фиксацию

Сценарий: нужен sticky-режим, но MAC известен заранее и должен быть внесен вручную.

[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky 5489-98aa-bbcc vlan 10
[Huawei-GigabitEthernet0/0/1] undo shutdown

port-security mac-address sticky mac-address vlan вручную добавляет sticky MAC-адрес на интерфейс после включения sticky MAC.
Такой вариант удобен, если в организации принят sticky-режим, но конкретные устройства надо закрепить заранее.

Шаг 13. Настроить порт для одного рабочего ПК

system-view
vlan batch 10
interface GigabitEthernet0/0/1
 description USER_PC_01
 shutdown
 port link-type access
 port default vlan 10
 port-security enable
 port-security max-mac-num 1
 port-security protect-action restrict
 port-security mac-address sticky
 undo shutdown
 quit
save

Лучший режим для обычного офиса: sticky + max-mac-num 1 + restrict. После первичного внедрения и проверки можно заменить restrict на shutdown, если политика безопасности требует жесткой блокировки.

Шаг 14. Настроить порт для принтера, камеры или терминала

system-view
vlan batch 20
interface GigabitEthernet0/0/10
 description PRINTER_STATIC_MAC
 shutdown
 port link-type access
 port default vlan 20
 port-security enable
 port-security max-mac-num 1
 port-security protect-action shutdown
 port-security mac-address 5489-98aa-bbcc vlan 20
 undo shutdown
 quit
save

Для стационарных устройств лучше ручная static secure MAC-фиксация. Это исключает автоматическое закрепление случайно подключенного устройства.

Шаг 15. Настроить порт для IP-телефона и ПК

system-view
vlan batch 10 30
interface GigabitEthernet0/0/5
 description IP_PHONE_PLUS_PC
 shutdown
 port link-type access
 port default vlan 10
 port-security enable
 port-security max-mac-num 2
 port-security protect-action restrict
 port-security mac-address sticky
 undo shutdown
 quit
save

В примере VLAN 10 используется как пользовательская. Голосовая VLAN зависит от принятой схемы телефонии и может настраиваться отдельными командами voice VLAN. Лимит 2 подходит для схемы телефон + ПК, но перед массовым применением проверь фактическое количество MAC-адресов на тестовом порту.

Шаг 16. Настроить порт для сервера с одним MAC

system-view
vlan batch 100
interface GigabitEthernet0/0/20
 description SERVER_SINGLE_MAC
 shutdown
 port link-type access
 port default vlan 100
 port-security enable
 port-security max-mac-num 1
 port-security protect-action restrict
 port-security mac-address 00e0-fc11-2233 vlan 100
 undo shutdown
 quit
save

Для сервера с виртуализацией, bond/teaming, контейнерами, bridge или несколькими MAC-адресами не используй лимит 1. Сначала собери фактические MAC-адреса и только потом принимай решение.

Шаг 17. Проверить состояние port-security

display port-security
display port-security interface GigabitEthernet0/0/1
display mac-address interface GigabitEthernet0/0/1

display port-security показывает общую информацию по интерфейсам с port-security.
Проверь:

  • port-security включен только на нужных access-портах;
  • лимит MAC соответствует типу подключения;
  • защитное действие соответствует политике;
  • количество изученных MAC не превышает плановое;
  • на uplink/trunk-портах port-security не включен случайно.

Шаг 18. Очистить ошибочно изученные MAC-адреса

Если sticky закрепил неправильный MAC, сначала выключи порт:

[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] shutdown
[Huawei-GigabitEthernet0/0/1] quit

Удалить sticky MAC на порту:

[Huawei] undo mac-address sticky GigabitEthernet0/0/1

Удалить secure dynamic MAC на порту:

[Huawei] undo mac-address security GigabitEthernet0/0/1

Удалить static secure MAC по VLAN или порту:

[Huawei] undo mac-address sec-config GigabitEthernet0/0/1

После очистки подключи правильное устройство и включи порт:

[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] undo shutdown

Шаг 19. Убрать port-security с порта

[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] shutdown
[Huawei-GigabitEthernet0/0/1] undo port-security mac-address sticky
[Huawei-GigabitEthernet0/0/1] undo port-security protect-action
[Huawei-GigabitEthernet0/0/1] undo port-security max-mac-num
[Huawei-GigabitEthernet0/0/1] undo port-security enable
[Huawei-GigabitEthernet0/0/1] undo shutdown

После отключения port-security проверь, что на порту не осталось нежелательных secure/static/sticky записей.

Итоговая конфигурация: ручная статическая фиксация без автонабора

system-view
vlan batch 10
interface GigabitEthernet0/0/1
 description USER_PC_STATIC_MAC
 shutdown
 port link-type access
 port default vlan 10
 port-security enable
 port-security max-mac-num 1
 port-security protect-action restrict
 port-security mac-address 5489-98aa-bbcc vlan 10
 undo shutdown
 quit
save

Итоговая конфигурация: автоматический сбор через sticky MAC

system-view
vlan batch 10
interface GigabitEthernet0/0/1
 description USER_PC_STICKY_MAC
 shutdown
 port link-type access
 port default vlan 10
 port-security enable
 port-security max-mac-num 1
 port-security protect-action restrict
 port-security mac-address sticky
 undo shutdown
 quit
display port-security interface GigabitEthernet0/0/1
display mac-address interface GigabitEthernet0/0/1
save

Контрольный чек-лист

Проверка Норма
Port-security включен только на нужных access-портах Да
На trunk/uplink port-security не включен случайно Да
Порт был выключен перед настройкой Да
VLAN порта задана до включения port-security Да
max-mac-num соответствует типу подключения Да
Для стационарных устройств используется static secure MAC Да
Для рабочих мест sticky включается только после проверки подключения Да
Защитное действие выбрано осознанно restrict или shutdown/error-down
Неверно изученные MAC очищены перед вводом в эксплуатацию Да
Конфигурация сохранена Да

Читать дальше

Создание изолированного L2-канала между двумя коммутаторами Huawei