捣蛋终端换个网口又摸进来？黑洞MAC表项一条按死

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

换口换IP都治标，网卡地址治本

网络管理里有个反复拉锯的场面：某台终端捣乱，把它接的口禁了，网线一拔换个口又回来了；改了地址，换个IP照样连。设备是死的，地址和端口都能换，只有网卡MAC地址不跟着换。华为设备提供黑洞MAC地址表项，专门对付这种打地鼠局面：含有特定源MAC地址或目的MAC地址的数据帧，一律丢弃——不管它从哪个口进来、用什么IP，认得它的网卡就按死。

先理一遍MAC表项的家底

MAC地址表项分为动态表项、静态表项、黑洞表项、安全动态表项和Sticky MAC表项：动态表项由接口自己通过源MAC地址学习获得；静态表项由用户手工配置，优先级高于动态表项；黑洞表项由用户手工配置，用于丢弃特定源或目的MAC的帧；后两类跟端口安全功能绑定。静态和黑洞这对搭档的分工是：静态MAC用于保障与上行设备或服务器的正常通信、免受伪造MAC地址攻击；把非信任的MAC地址配置为黑洞MAC，防止这些MAC地址的主机或终端攻击设备。

配置都在系统视图完成

加一条静态表项，指定目的MAC、出接口和VLAN：

<HUAWEI> system-view
[HUAWEI] mac-address static 0003-0003-0003 gigabitethernet 0/0/1 vlan 4

加一条黑洞表项，把捣蛋MAC按在用户VLAN里：

<HUAWEI> system-view
[HUAWEI] mac-address blackhole 0004-0004-0004 vlan 5

清掉全部动态表项、让接口重新学习：

<HUAWEI> system-view
[HUAWEI] undo mac-address dynamic

几条规则要记牢

配置静态MAC表项前，接口必须先加入对应VLAN，否则无法成功配置；MAC地址格式为H-H-H，不可设置为FFFF-FFFF-FFFF、组播地址和全零地址；系统可以配置多个静态或黑洞表项，多次执行命令结果是累加。MAC表已满时的行为也有讲究：表中存在动态表项，新加的静态或黑洞表项自动覆盖动态表项；表中没有动态表项，则无法添加。

删除动作分场景：配置不再是上行设备或非信任MAC时删除原配置；动态学习到的表项不该存在时删除重学。不指定接口删除时删全部接口下的该类型表项，不指定VLAN时删全部VLAN下的，undo范围要核对清楚再回车。按MAC封禁和按ACL封端口是两种打法，前者一台设备一条表项，后者管一段流量，配合着用效果更稳。

终端侧安全事件，先按MAC止损再顺端口排查，影响面就控制得住，欢迎搜索关注贵州诚鑫致达科技，获取更多交换机接入安全的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。