Configuración de Port Security (con shutdown)

La siguiente configuración se realizó en un equipo L3 ICX 6610:

ICX 6610 L3

ICX 7250 L2
MAC:748EF8B2EE00

LAPTOP
MAC:B88D1253F243
LAPTOP
MAC:80CE627A817C

Accede al Puerto

Router(config)#interface ethernet 1/1/13

Configuración dentro del puerto

Router(config-if-e1000-1/1/13)#port security

Especifica la cantidad de MAC que debe aprender

Router(config-port-security-e1000-1/1/13)#maximum 2

Especifica la acción que tomara el puerto en caso de una violación, además de que se establece el
tiempo en minutos (0 -1440 Minutos, 0 = Permanente) en el que verificara el estado en el que se
encuentra.

Router(config-port-security-e1000-1/1/13)#violation shutdown 1.

Habilita el port security en el puerto

Router(config-port-security-e1000-1/1/13)#enable
NOTA: Si realizamos la configuración como se muestra anteriormente, el puerto agregara las
primeras direcciones MAC que se detecten conectadas, respetando el número máximo que se le
específico, en el caso de que se quieran ingresar se utilizaría el siguiente comando:

secure-mac-address 748e.f8b2.ee00 1000

Para verificar que nuestra configuración es correcta, se ingresa el comando #show running-config
buscamos los resultados de la interfaz que se configuro y el resultado es el siguiente:

En la imagen anterior se muestran la configuración que se pudo ingresar manualmente o que el

switch aprendió automáticamente.

Acciones al realizar una Violación Shutdown:

 El puerto se deshabilita, si más de 2 mac´s se reconoce por el puerto configurado

 El puerto se deshabilita, si se reconoce una mac que no está dentro de las que se tienen en
la configuración.

Revisión de LOGS

Con el comando #show logging, verificas las acciones que toma el puerto en caso de una violación,
si la violación persiste dichos mensajes se repetirán cada cierto tiempo (Configurado en la
Violación), en este caso un minuto.
En la imagen de muestra la MAC que se conectó y activo la Violación, así como también en que
vlan está el puerto.

Configuración de Port Security (con restrict)

Accede al Puerto

Router(config)#interface ethernet 1/1/12

Configuración dentro del puerto

Router(config-if-e1000-1/1/12)#port security

Especifica la cantidad de MAC que debe aprender

Router(config-port-security-e1000-1/1/12)#maximum 2

Especifica la acción que tomara el puerto en caso de una violación, además de que se establece el
tiempo en minutos (0 -1440 Minutos, 0 = Permanente) en el que verificara el estado en el que se
encuentra.

Router(config-port-security-e1000-1/1/12)#violation restrict 1

Habilita el port security en el puerto

Router(config-port-security-e1000-1/1/12)#enable
NOTA: Si realizamos la configuración como se muestra anteriormente, el puerto agregara las
primeras direcciones MAC que se detecten conectadas, respetando el número máximo que se le
específico, en el caso de que se quieran ingresar se utilizaría el siguiente comando:

secure-mac-address 748e.f8b2.ee00 1000

Para verificar que nuestra configuración es correcta, se ingresa el comando #show running-config
buscamos los resultados de la interfaz que se configuro y el resultado es el siguiente: se
obtuvieron dos Mac.

En la imagen anterior se muestran la configuración que se pudo ingresar manualmente o que el

switch aprendió automáticamente.

Acciones al realizar una Violación restrict:

 El puerto restringe el tráfico a la mac que no se tiene en la configuración, las 2 mac´s que
se tienen configuradas siguen teniendo acceso.
 En el caso de tener solo 1 equipo conectado y este tenga una mac que no esté en la
configuración, el tráfico es restringido (sin acceso).
Revisión de LOGS

Con el comando #show logging, verificas las acciones que toma el puerto en caso de una violación,
es importante mencionar que si se tiene la configurada la seguridad en el puerto como violation
restrict, el equipo no muestra log referente a una violación.

NOTA: En caso de crear una red inalámbrica desde una PC conectada una interfaz configurada con
port security, dicho puerto solo registrara la dirección mac de la PC mas no las direcciones de los
dispositivos conectados a su red inalámbrica, lo anterior en el caso de NAT, si se configura la red
en modo PUENTE si se detectan dichos equipos inalámbricos.