一、組網需求

1、要求接入交換機埠限制MAC地址學習數量，超過設定數量就會觸發入侵檢測，然後執行入侵檢測的安全動作。

2、要求接入交換機的埠不接受非信任的DHCP伺服器下發的IP。

二、配置MAC

1、埠最多隻能接入一臺裝置，如果超過兩個MAC自動關閉埠，需要手動刪除學習記錄並開啟埠

[SW36]display  version 
H3C S3110-26TP-SI

[SW36]port-security  enable
[SW36]interface  Ethernet 1/0/1
[SW36-Ethernet1/0/1]port-security max-mac-count 1
[SW36-Ethernet1/0/1]port-security port-mode autolearn
[SW36-Ethernet1/0/1]port-security intrusion-mode disableport
[SW36-Ethernet1/0/1]quit
 

說明：

控制autoLearn模式下埠能夠新增的最大安全MAC地址數

入侵檢測特性：

當裝置檢測到一個非法的使用者通過埠試圖訪問網路時，該特性用於配置裝置可能對其採取的安全措施，包括以下三種方式：
blockmac：表示將非法報文的源MAC地址加入阻塞MAC地址列表中，源MAC地址為阻塞MAC地址的報文將被丟棄。此MAC地址在被阻塞3分鐘（系統預設，不可配）後恢復正常。
disableport：表示將收到非法報文的埠永久關閉。
disableport-temporarily：表示將收到非法報文的埠暫時關閉一段時間。關閉時長可通過port-security timer disableport命令配置。

2、檢視確認，會看到埠記錄一條MAC與埠繫結資訊

[SW36-Ethernet1/0/1]dis this
#
interface Ethernet1/0/1
 port access vlan 3
 port-security max-mac-count 1
 port-security port-mode autolearn
 port-security intrusion-mode disableport
 port-security mac-address security sticky 9829-a60a-76df vlan 3

3、接入新裝置觸發入侵檢測，埠down

[SW36]display  logbuffer
SW36 PORTSEC/5/PORTSEC_VIOLATION: -IfName=Ethernet1/0/1-MACAddr=98:29:A6:0A:76:FD-VlanId=-3-IfStatus=Down; Intrusion detected.

[SW36]display  interface  brief  down 
The brief information of interface(s) under bridge mode:
Link: ADM - administratively down; Stby - standby
Interface            Link Cause
Eth1/0/1             DOWN  Port Security Disabled
Eth1/0/2             DOWN Not connected

三、配置DHCP Snooping

1、開啟dhcp-snooping

[SW36]dhcp-snooping
[SW36-GigabitEthernet1/0/25]dhcp-snooping trust

說明：

2、檢視

[SW36]display  dhcp-snooping 
 DHCP Snooping is enabled.
 The client binding table for all untrusted ports.
 Type : D--Dynamic , S--Static , R--Recovering
 Type IP Address      MAC Address    Lease        VLAN SVLAN Interface
 ==== =============== ============== ============ ==== ===== =================
 D    192.168.3.69    9829-a60a-76df 171725       3    N/A   Eth1/0/1