AP下行口私接设备不设防？华为有线口安全三道锁

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

私接设备防不住是配置缺位：信任口、端口安全、报文绑定检查三道锁都挂在AP有线口模板里，仿冒应答、陌生MAC、伪造报文各有人管。

风险从哪进来？

AP挂到了楼层各处，下行口就近接设备，方便是真方便，风险也是真风险：私接的小交换机、来路不明的终端、仿冒的DHCP服务器，都能从这个口摸进来。华为给AP有线口准备了三道锁——信任口、端口安全、报文绑定检查，把下行方向的口子收紧。

第一道锁：信任口怎么拦仿冒？

DHCP和ND的正常应答报文只该来自合法服务器，所以在有线口模板视图里配dhcp trust port和nd trust port开启信任功能——只有信任口收到的服务器应答才会被接收并转发给终端，仿冒服务器从这个口发来的应答直接被拦下。上行口的这两项信任功能缺省就是开的，重点盯下行口。

第二道锁：端口安全怎么定员？

这项功能只在工作模式为endpoint的下行口生效，思路是把接口学到的MAC地址转成安全MAC，名单之外的MAC别想从这个口通信。进模板视图依次配：port-security enable开功能；port-security mac-address sticky把安全MAC固化成Sticky MAC——安全动态MAC设备重启就丢，Sticky MAC不老化，保存配置后重启也不丢，终端变动少的房间正合适；port-security max-mac-num限制学习数量，缺省只学1个，接摄像头、打印机这类定员设备刚好；port-security protect-action { protect | restrict }定违规动作，缺省restrict。开关之间的状态转换也有规律：使能端口安全时接口原有的动态MAC表项被删除、之后重新学，去使能Sticky MAC后固化表项又退回安全动态MAC，调整配置时心里有这张状态图就不慌。

第三道锁：绑定检查怎么治仿冒？

有人会仿冒合法用户的源IP、源MAC发报文访问网络，甚至搞中间人窃听。对策分两步：先在模板里用learn-client-address { ipv4 | ipv6 } enable开终端地址学习——下行口的有线终端拿到地址后，AP会主动向AC上报，维护出一张IP与MAC对应的绑定表；再用ipsg enable开IP报文绑定检查、dai enable开动态ARP检测，此后每个报文都拿源IP、源MAC、接口、VLAN信息和绑定表比对，对得上才放行，对不上就丢弃，仿冒报文和ARP欺骗一起治。

依据：华为官方典型配置案例（2026-11 版）。

效果怎么验？

三道锁都落在AP有线口模板里，在AP组或AP下引用生效。验收可以现场试两下：私接一台改了IP的笔记本应立刻断网，合法终端的打印机应照常工作。末端口子的安全不靠自觉靠机制，欢迎搜索关注贵州诚鑫致达科技，我们帮你把接入面的防线配齐。