陌生设备插上网口就能上网？交换机端口安全把 MAC 绑在口上
办公室墙面上的网口有十几二十个，真正插着设备的就那么几个，剩下的空口谁来都能用：外来人员带台笔记本插上就能进内网，员工私下接的小设备也无人知晓。内网的门，就从这些空着的网口敞开着。交换机的端口安全功能，就是给每个网口上的一道"认人"的锁——只认登记过的设备，生面孔一律拦下。
原理一句话讲清
每台上网设备的网卡都有一个全球唯一的编号，叫 MAC 地址，相当于设备的身份证号。端口安全做的事很简单：让交换机的某个网口只记住指定的身份证号，第一个插上来的合法设备被登记下来（或者由管理员提前写死），之后再插上来的设备如果对不上号，交换机就按事先约定的动作处理——丢掉它的数据，或者干脆把这个口关掉。陌生设备物理上插着，网络上一包数据也过不去。
这套机制顺带管住了另一类麻烦：有人嫌墙上的口不够用，自己买个小交换机或随身路由器插进来，后面挂一堆来路不明的设备。端口开了认人这道锁，一个口只放行登记过的那台设备，私接的小盒子一插就现形，网络里也就少了一块看不见的死角。
配置思路四步
- 先摸清口和设备的对应关系：哪个口接着哪台设备，列一张对应表。这一步没法省——绑错了号，正常设备会被误伤。
- 选好"绑法"：设备固定的口（打印机、台式机、监控主机）适合写死绑定，一劳永逸；人员流动大的口适合"自动学习"模式，第一个插上来的设备被自动记住，后面来的陌生面孔拦住。
- 定好"违例动作"：拦下陌生设备时是只丢弃它的流量（安静拦住，不惊动对方），还是直接把端口关死（动作大，但适合重要区域）。一般办公区选前者，财务室、机房所在口选后者。
- 留一个后手：总有设备要更换的一天。把换设备的标准流程写下来——申请、改绑定、验证——免得半年后换了台打印机，全办公室来排查为什么打不了。
两处提醒
- 先小范围试点：先绑一层楼或者一个部门，跑一两周没有误伤，再铺开。一次性全网绑死，某个角落一台老设备换过网卡就会莫名其妙断网。
- 交接的口留记录：每个口的绑定关系记进台账，接手的人照表管理；靠老员工脑子里记的对应表，人一走账就断了。
- 和无线那套配合：有 Wi-Fi 的公司，光管住网口还不够，无线侧的准入（访客隔离、终端认证）要一起上，两条腿都不能少。有线这道闸管的是墙上的口，无线那道管的是空中的门。
网口虽小，是内网的门面。端口安全怎么按贵司的工位规划来绑，欢迎搜索关注贵州诚鑫致达科技，把每个口认谁列成一张表。
企业存储选型参考｜贵州诚鑫致达
做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。