Cisco IOS 交換器的「埠口安全」可限制介面允許的 MAC 位址，實現存取控制。本文系統整理其核心機制與配置要點。

1. 三類安全 MAC 位址類型

• 動態/學習：從封包自動學習，適合筆記型電腦等移動裝置。重啟或鏈路中斷後失效。
• 靜態/配置：手動指定 MAC，適合固定桌機。永久有效除非手動移除。
• 黏性：自動學習並寫入運行配置，write memory 後重啟保留，免手動配置大量固定 MAC。不支援老化。

單一介面達到最大安全 MAC 數上限時，新增靜態會被拒，新增動態則觸發違例。

2. 最大安全 MAC 數（1~3000）

• 預設 1。可透過 switchport port-security mac-address、port-security mac-address vlan range、動態學習、靜態+動態混合、黏性方式填充。
• Trunk 介面可分別設定介面級與 VLAN 級上限，介面級 ≥ VLAN 級，否則 VLAN 達上限即關閉整個介面。

3. 安全 MAC 老化

• 預設不老化。可設 絕對模式（固定時間後老化）或 靜止模式（閒置一定時間老化），週期 n~n+1 分鐘。
• 靜態 MAC 預設不老化，需額外指令 switchport port-security aging static 啟用。
• 黏性 MAC 不支援老化。

4. 黏性 MAC 進階

• switchport port-security mac-address sticky 啟用，將現有動態 MAC 轉為黏性並寫入運行配置。
• 必須 write memory 存入啟動配置，否則重啟後遺失。
• 關閉黏性功能會自動轉回動態並從運行配置移除。

5. 四種違例模式對照表

模式	封包轉發	SNMP Trap	Syslog	錯誤訊息	計數器	關閉介面
保護	丟棄未知 MAC	否	否	否	否	否
限制	丟棄未知 MAC	是	是	否	是	否
關閉	介面進入 error-disabled	是	是	是	是	是
關閉 VLAN	僅關閉違規 VLAN	是	是	是	是	否（介面保留）

經驗之談：Trunk 上慎用「保護」模式，因單一 VLAN 達上限會關閉整個介面。「關閉 VLAN」模式較彈性，僅隔離違規 VLAN。

詳細配置範例請參考《Cisco/H3C 交換器高階配置與管理技術手冊》。