[Packet Tracer] Port-Security로 스위치 포트의 MAC 주소 제한

스위치 Fa0/1에 Port-Security를 켜서 학습할 MAC 주소를 1개로 제한하고, 두 번째 MAC이 들어오면 포트가 shutdown 되는 것을 확인했습니다. 이어서 허용할 MAC 주소를 직접 지정해 PC7만 통신하도록 했습니다.

1. Port-Security란

Port-Security는 스위치 포트에서 출발지 MAC 주소를 기준으로 프레임을 받을지 말지 정하는 L2 보안 기능입니다. 허용 개수나 허용 MAC을 넘는 장비가 붙으면 위반(violation)으로 처리합니다.

2. 토폴로지

Port-Security 실습 토폴로지

장비	IP	위치
PC7	192.168.0.1	스위치 Fa0/1 쪽
PC8	192.168.0.2	스위치 Fa0/1 쪽
PC9	192.168.0.3	목적지

 

Fa0/1 너머의 PC7, PC8 MAC 주소가 모두 학습되어야 정상이지만, 학습 개수를 1개로 줄여 두 번째 MAC이 들어오면 포트가 꺼지도록 설정합니다.

3. 실습 1: MAC 주소 개수 제한

3.1 설정

Port-Security는 액세스 포트에서만 켤 수 있으므로 먼저 액세스 모드로 바꿉니다.

Switch(config)# interface fa0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security violation shutdown

명령어	의미
switchport port-security	Port-Security 활성화
maximum 1	학습할 MAC 주소를 1개로 제한
violation shutdown	위반 시 포트를 err-disabled로 차단

3.2 확인

PC7에서 PC9로 ping을 보내면 정상적으로 통신합니다. 이때 PC7의 MAC 주소가 학습됩니다.

PC7에서 PC9로 ping 성공

 

PC8에서 PC9로 ping을 보내는 순간 두 번째 MAC 주소가 들어와 Fa0/1이 꺼지고 ping이 실패합니다.

PC8에서 PC9로 ping 실패

위반으로 꺼진 Fa0/1 포트

 

꺼진 포트는 shutdown, no shutdown을 차례로 입력해야 다시 살아납니다.

Switch(config)# interface fa0/1
Switch(config-if)# shutdown
Switch(config-if)# no shutdown

4. 실습 2: 허용할 MAC 주소 지정

이번에는 PC7과 PC9만 통신하도록 PC7의 MAC 주소를 직접 등록합니다.

PC7의 MAC 주소 확인

PC7 MAC 주소를 지정한 설정

Switch(config)# interface fa0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address 0000.0C34.5C6A
Switch(config-if)# switchport port-security violation shutdown

PC7과 PC9는 통신되고, PC8에서 ping을 보내는 순간 포트가 다운됩니다.

5. 정리

• Port-Security는 포트에서 받는 출발지 MAC 주소를 제한합니다.
• maximum으로 개수를, mac-address로 허용 주소를 정하고 violation으로 위반 시 동작을 정합니다.
• shutdown으로 꺼진 포트는 shutdown, no shutdown으로 복구합니다.