imported>TechCorner-Redaktion: Neuer Artikel: Port-Security mit Sticky-Learning, Violation-Modi, Voice-VLAN, Storm Control

2026-10-15T00:00:00Z

Neuer Artikel: Port-Security mit Sticky-Learning, Violation-Modi, Voice-VLAN, Storm Control

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Access- und Trunk-Ports
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = Privileged EXEC (enable)
| stand = Oktober 2026
}}
'''Port-Security auf dem Cisco Catalyst 2960-X''' begrenzt, welche und wie viele Geräte an einem Switch-Port arbeiten dürfen. Der Switch merkt sich die [[MAC-Adresse]]n der erlaubten Geräte und reagiert, wenn ein fremdes Gerät angesteckt wird oder jemand einen kleinen Switch dazwischenhängt – je nach Einstellung mit Verwerfen, Protokolleintrag oder Sperren des Ports. Port-Security ist schnell eingerichtet und eine sinnvolle Grundabsicherung, wo [[802.1X]] (noch) nicht möglich ist.

[[Datei:Cisco-2960-X-Port-Security.png|thumb|center|750px|Port-Security auf dem Catalyst 2960-X: Der Port lernt die MAC-Adressen von Telefon und PC per Sticky-Learning; ein fremdes Gerät löst eine Verletzung aus, auf die der Switch je nach Modus mit protect, restrict, shutdown oder shutdown vlan reagiert.]]

== Port-Security-Grundlagen ==
Standardwerte, sobald Port-Security auf einem Port aktiviert wird:
{| class="wikitable"
! Einstellung !! Standard !! Befehl
|-
| Erlaubte MAC-Adressen || 1 || <code>switchport port-security maximum <n></code>
|-
| Reaktion bei Verletzung || shutdown || <code>switchport port-security violation …</code>
|-
| Sticky-Learning || aus || <code>switchport port-security mac-address sticky</code>
|-
| Aging || aus || <code>switchport port-security aging …</code>
|}

=== Die vier Reaktionen bei einer Verletzung ===
{| class="wikitable"
! Modus !! Fremde Rahmen !! Meldung (Syslog/SNMP) !! Port
|-
| <code>protect</code> || verworfen || keine || bleibt aktiv
|-
| <code>restrict</code> || verworfen || ja, Zähler steigt || bleibt aktiv
|-
| <code>shutdown</code> (Standard) || – || Zähler steigt || '''err-disabled''', LED aus
|-
| <code>shutdown vlan</code> || – || Zähler steigt || nur das betroffene VLAN gesperrt
|}
In der Praxis bewährt sich '''restrict''': Fremde Geräte kommen nicht ins Netz, der Vorfall wird protokolliert, und das berechtigte Gerät am Port arbeitet weiter. <code>shutdown</code> ist strenger, erzeugt aber Supportaufwand, wenn jemand nur ein Notebook umsteckt.

== Port-Security konfigurieren ==
=== Arbeitsplatz-Port mit Telefon und PC ===
<syntaxhighlight lang="text">
SW-EG-01# configure terminal
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport voice vlan 40
SW-EG-01(config-if-range)# switchport port-security maximum 3
SW-EG-01(config-if-range)# switchport port-security maximum 1 vlan access
SW-EG-01(config-if-range)# switchport port-security violation restrict
SW-EG-01(config-if-range)# switchport port-security mac-address sticky
SW-EG-01(config-if-range)# switchport port-security
SW-EG-01(config-if-range)# end
</syntaxhighlight>
* Port-Security funktioniert nur auf Ports mit festem Modus (<code>switchport mode access</code> oder <code>trunk</code>), nicht auf <code>dynamic</code>-Ports.
* Mit Voice-VLAN muss das Maximum mindestens '''2 + Maximum des Access-VLANs''' betragen: Das Telefon erscheint je nach Modell im Daten- und im Voice-VLAN. Mit 3 und <code>maximum 1 vlan access</code> darf genau ein PC hinter dem Telefon hängen.
* Der letzte Befehl <code>switchport port-security</code> schaltet die Funktion ein; die übrigen Werte gelten erst dann.

=== Sticky-Learning: erlernte Adressen festschreiben ===
Mit <code>mac-address sticky</code> übernimmt der Switch die ersten erkannten MAC-Adressen als feste Einträge in die '''running-config''':
<syntaxhighlight lang="text">
interface GigabitEthernet1/0/5
switchport port-security mac-address sticky
switchport port-security mac-address sticky 0050.56a1.2b3c vlan access
</syntaxhighlight>
{{Warnung|Sticky-Adressen stehen nur in der running-config. Ohne <code>write memory</code> sind sie nach einem Neustart weg und werden neu gelernt – auch von einem Gerät, das gerade zufällig angeschlossen ist.}}

=== Arbeitsplatzwechsel: Adressen löschen ===
Zieht ein Mitarbeiter mit neuem PC um, die gelernten Adressen des Ports löschen:
<syntaxhighlight lang="text">
SW-EG-01# clear port-security sticky interface gi1/0/5
SW-EG-01# write memory
</syntaxhighlight>
Bei vielen Umzügen ist Aging die bequemere Variante (statt Sticky):
<syntaxhighlight lang="text">
SW-EG-01(config-if)# switchport port-security aging time 480
SW-EG-01(config-if)# switchport port-security aging type inactivity
</syntaxhighlight>
Adressen, von denen 8 Stunden kein Verkehr kam, werden dann automatisch entfernt. Für Sticky-Adressen gilt Aging nicht.

=== Gesperrte Ports automatisch freigeben (optional) ===
<syntaxhighlight lang="text">
SW-EG-01(config)# errdisable recovery cause psecure-violation
SW-EG-01(config)# errdisable recovery interval 300
</syntaxhighlight>
Nur sinnvoll im Modus <code>shutdown</code>. Manuell wird ein Port mit <code>shutdown</code> und <code>no shutdown</code> wieder freigegeben.

== Kontrolle ==
<syntaxhighlight lang="text">
show port-security ! Übersicht: Ports, Maximum, Verletzungen, Modus
show port-security interface gi1/0/5 ! Details eines Ports inkl. letzter fremder MAC
show port-security address ! alle gesicherten MAC-Adressen
show interfaces status err-disabled ! gesperrte Ports
show logging | include PSECURE ! Meldungen zu Verletzungen
</syntaxhighlight>
Im Modus <code>restrict</code> erzeugt jede Verletzung die Meldung <code>%PORT_SECURITY-2-PSECURE_VIOLATION</code> mit der fremden MAC-Adresse. Diese Meldungen gehören in das zentrale Logging bzw. SIEM, siehe [[Cisco Catalyst 2960-X: Syslog und SNMP einrichten]].

== Ergänzung: Storm Control ==
Gegen Broadcast-Stürme, etwa durch eine Schleife hinter einem Tischswitch, hilft zusätzlich Storm Control:
<syntaxhighlight lang="text">
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# storm-control broadcast level 5.00
SW-EG-01(config-if-range)# storm-control multicast level 10.00
SW-EG-01(config-if-range)# storm-control action trap
</syntaxhighlight>
Übersteigt der Broadcast-Anteil 5 % der Bandbreite, verwirft der Port den Überschuss und meldet es. Mit <code>storm-control action shutdown</code> wird der Port stattdessen gesperrt. Kontrolle: <code>show storm-control</code>.

== Hinweise ==
* '''Grenzen:''' MAC-Adressen lassen sich fälschen. Port-Security hält Gelegenheitsanschlüsse und fremde Switches fern, ersetzt aber keine echte Authentisierung mit 802.1X, siehe [[Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren]].
* '''Nicht auf Uplinks:''' Auf Trunks zu anderen Switches, zur Firewall oder zu Virtualisierungs-Hosts sieht der Port sehr viele MAC-Adressen – dort keine Port-Security einsetzen.
* '''Drucker und Kameras:''' Für Geräte, die selten senden, eignet sich Sticky ohne Aging.
* '''DHCP Snooping''' ergänzt Port-Security um Schutz vor fremden DHCP-Servern, siehe [[Cisco Catalyst 2960-X: DHCP Snooping konfigurieren]].
* Bei Netzwerkzugangskontrolle und der Absicherung Ihrer Infrastruktur unterstützt Sie das [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Team von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren]]
* [[Cisco Catalyst 2960-X: DHCP Snooping konfigurieren]]
* [[MAC-Adressen Filterung mit Cisco IOS]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_sec_storm_cg.html Cisco: Configuring Port-Based Traffic Control (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Leistungen von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

Cisco Catalyst 2960-X: Port-Security konfigurieren - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Port-Security mit Sticky-Learning, Violation-Modi, Voice-VLAN, Storm Control