配置
拓扑
命令
<Huawei>system-view #进入系统视图 [Huawei]sysname SW1 #重命名为SW1 [SW1]vlan 10 #创建vlan10 [SW1-vlan10]quit #返回上一层 [SW1]port-group VLAN10-group #创建端口组名字为VLAN10-group [SW1-port-group-vlan10-group]group-member g0/0/1 to g0/0/5 #将g0/0/1到g0/0/5加入到组 [SW1-port-group-vlan10-group]port link-type access #将组里所有接口改为access [SW1-port-group-vlan10-group]port default vlan 10 #将组里所有接口默认VLAN改为VLAN10 [SW1-port-group-vlan10-group]port-security enable #将组里所有端口安全打开 [SW1-port-group-vlan10-group]port-security mac-address sticky #将组里所有MAC都设置为粘连（类似绑定） #默认一个端口最大MAC数量为1，也可以用以下命令更改 [SW1-port-group-vlan10-group]port-security max-mac-num 10 #该为10个，这里就不做更改 [SW1-port-group-vlan10-group]quit #返回上一层 [SW1]interface g0/0/1 #进入接口g0/0/1 [SW1-GigabitEthernet0/0/1]port-security protect-action protect #设置为如果违反端口安全则丢包 [SW1-GigabitEthernet0/0/1]int g0/0/2 #进入接口g0/0/2 [SW1-GigabitEthernet0/0/2]port-security protect-action restrict #设置为如果违反端口安全则向交换机发送日志并丢包 #此设置为默认设置，所以不设置也是此条 [SW1-GigabitEthernet0/0/2]int g0/0/3 #进入接口g0/0/3 [SW1-GigabitEthernet0/0/3]port-security protect-action shutdown #设置为如果违反端口安全则向交换机发送日志，丢包并将端口shutdown #需要管理员重新开启 [SW1-GigabitEthernet0/0/3]quit #返回上一层 [SW1]mac-address static 5489-984E-0AAE GigabitEthernet 0/0/4 vlan 10 #将MAC地址5489-984E-0AAE 与接口g0/0/4 Vlan10 绑定在一起 #绑定后MAC地址在此端口有新MAC表时类型会变为Secutiy [SW1]interface g0/0/4 #进入接口g0/0/4 [SW1-GigabitEthernet0/0/4]mac-address learning disable action discard #禁止端口学习MAC地址（模拟器不能模拟） [SW1-GigabitEthernet0/0/4]quit #返回上一层 [SW1]mac-address blackhole 5489-9887-03F8 vlan 10 #将MAC地址5489-9887-03F8 vlan10 设置为黑洞MAC表（类型黑名单）
测试
#首先用PC 1 ping PC 2 3 4 5 #PC 5是不通的因为他是黑洞MAC #下面我们来看一下交换机的MAC表
我们更改接口下的PC会出现什么呢 PC 1： 因为PC 1 设置的protect模式，所以如果他换PC也就是MAC变了 即无法通信，交换机不会有日志，接口也不会down PC 2： 因为PC 2 设置的restrict模式，也就是默认模式，他如果换MAC了 即无法通信，交换机上会有日志，接口不会down PC 3： 因为PC 3 设置的shutdown模式，所以如果他换MAC了 即无法通信，交换机上会有日志，接口也会down掉 需要管理员再次开启 PC 4： 因为PC 4 设置的静态MAC地址，并且设置了让交换机的g0/0/4端口 不自动学习MAC所以他MAC换掉应该也是无法通信的，但模拟器模拟不出来 所以模拟器上的结果的可以通信。没有设置不自动学习MAC就可以通信 PC 5： 因为PC 5 设置了一个黑洞MAC地址也就是PC 5的MAC所以 不管源MAC还是目标MAC只要有黑洞MAC的都无法通信