Port security là tính năng bảo mật tầng 2 trên switch, cho phép giới hạn số lượng và định danh thiết bị được phép kết nối vào một cổng vật lý. Đây là lớp bảo vệ cơ bản nhất chống truy cập trái phép vào hạ tầng mạng nội bộ.
Tóm tắt nhanh: Port security trên switch giới hạn địa chỉ MAC được phép kết nối vào mỗi cổng, ngăn thiết bị lạ truy cập mạng nội bộ. Bài viết hướng dẫn cấu hình trên switch Cisco và các dòng switch phổ biến, kèm ứng dụng thực tế cho doanh nghiệp.
Port security trên switch: hướng dẫn cấu hình và ứng dụng
Port security trên switch là gì?
Port security là tính năng có trên hầu hết switch managed layer 2. Khi kích hoạt, switch chỉ cho phép một hoặc một số địa chỉ MAC (Media Access Control) cụ thể truyền dữ liệu qua cổng đó. Nếu thiết bị có MAC không nằm trong danh sách cho phép kết nối vào, switch sẽ chặn — có thể đánh dấu vi phạm (violation) hoặc tắt hẳn cổng (shutdown).
Port security hoạt động theo cơ chế nào?
Switch học địa chỉ MAC của thiết bị kết nối vào cổng, sau đó so sánh với danh sách MAC được cấu hình (static) hoặc tự động học (dynamic). Có ba chế độ xử lý khi phát hiện MAC trái phép:
| Chế độ | Hành vi | Ứng dụng |
|---|---|---|
| Protect | Chặn gói tin từ MAC lạ nhưng không ghi log | Khu vực ít quan trọng, cần giữ cổng hoạt động |
| Restrict | Chặn MAC lạ và ghi log + tăng bộ đếm vi phạm | Giám sát an ninh, cần trace vi phạm |
| Shutdown | Tắt cổng ngay khi phát hiện MAC lạ | Môi trường bảo mật cao (DC, phòng server) |
Cấu hình port security trên switch Cisco như thế nào?
Các bước cơ bản trên Cisco IOS:
- Vào cấu hình cổng:
interface GigabitEthernet0/1 - Bật port security:
switchport port-security - Giới hạn số MAC tối đa:
switchport port-security maximum 2 - Cấu hình MAC tĩnh (tuỳ chọn):
switchport port-security mac-address aaaa.bbbb.cccc - Chọn chế độ vi phạm:
switchport port-security violation shutdown - Lưu cấu hình:
write memory
Trên switch Ruijie hoặc H3C, cú pháp tương tự với từ khóa port-security trên giao diện CLI. Để biết thêm chi tiết kiểm tra định kỳ switch, xem checklist kiểm tra switch enterprise định kỳ.
Port security có hạn chế gì trong thực tế?
Port security có một số hạn chế cần lưu ý. Địa chỉ MAC có thể bị giả mạo (MAC spoofing), nên tính năng này không thay thế được 802.1X. Trong môi trường có nhiều thiết bị di động (họp, khách), cần tăng số MAC tối đa hoặc dùng 802.1X kết hợp. Khi cổng bị shutdown ở chế độ violation, cần can thiệp thủ công để bật lại. Tham khảo thêm bài viết về các lỗi access control thường gặp và cách xử lý.
Câu hỏi thường gặp
Port security có trên switch không managed không?
Không. Port security chỉ có trên switch managed (có CLI/giao diện quản trị). Switch unmanaged không hỗ trợ cấu hình bảo mật tầng 2.
Làm sao để biết cổng switch đã bị vi phạm port security?
Dùng lệnh show port-security interface <tên cổng> trên CLI switch. Nếu thấy Violation Count tăng và trạng thái là shutdown, cổng đã bị vi phạm.
Port security khác 802.1X thế nào?
Port security kiểm tra địa chỉ MAC, còn 802.1X xác thực người dùng qua username/password hoặc chứng chỉ. Kết hợp cả hai cho lớp bảo vệ tốt hơn.
Cập nhật lần cuối: 10/10/2026 · Biên soạn: Đội ngũ kỹ thuật Wise Tech