Cisco Catalyst 2960-X: Port-Security konfigurieren
Auf einen Blick
| Gilt für | Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Access- und Trunk-Ports |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 20 Minuten |
| Rechte | Privileged EXEC (enable) |
| Stand | Oktober 2026 |
Port-Security auf dem Cisco Catalyst 2960-X begrenzt, welche und wie viele Geräte an einem Switch-Port arbeiten dürfen. Der Switch merkt sich die MAC-Adressen der erlaubten Geräte und reagiert, wenn ein fremdes Gerät angesteckt wird oder jemand einen kleinen Switch dazwischenhängt – je nach Einstellung mit Verwerfen, Protokolleintrag oder Sperren des Ports. Port-Security ist schnell eingerichtet und eine sinnvolle Grundabsicherung, wo 802.1X (noch) nicht möglich ist.
Port-Security-Grundlagen
Standardwerte, sobald Port-Security auf einem Port aktiviert wird:
| Einstellung | Standard | Befehl |
|---|---|---|
| Erlaubte MAC-Adressen | 1 | switchport port-security maximum <n>
|
| Reaktion bei Verletzung | shutdown | switchport port-security violation …
|
| Sticky-Learning | aus | switchport port-security mac-address sticky
|
| Aging | aus | switchport port-security aging …
|
Die vier Reaktionen bei einer Verletzung
| Modus | Fremde Rahmen | Meldung (Syslog/SNMP) | Port |
|---|---|---|---|
protect |
verworfen | keine | bleibt aktiv |
restrict |
verworfen | ja, Zähler steigt | bleibt aktiv |
shutdown (Standard) |
– | Zähler steigt | err-disabled, LED aus |
shutdown vlan |
– | Zähler steigt | nur das betroffene VLAN gesperrt |
In der Praxis bewährt sich restrict: Fremde Geräte kommen nicht ins Netz, der Vorfall wird protokolliert, und das berechtigte Gerät am Port arbeitet weiter. shutdown ist strenger, erzeugt aber Supportaufwand, wenn jemand nur ein Notebook umsteckt.
Port-Security konfigurieren
Arbeitsplatz-Port mit Telefon und PC
SW-EG-01# configure terminal
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport voice vlan 40
SW-EG-01(config-if-range)# switchport port-security maximum 3
SW-EG-01(config-if-range)# switchport port-security maximum 1 vlan access
SW-EG-01(config-if-range)# switchport port-security violation restrict
SW-EG-01(config-if-range)# switchport port-security mac-address sticky
SW-EG-01(config-if-range)# switchport port-security
SW-EG-01(config-if-range)# end
- Port-Security funktioniert nur auf Ports mit festem Modus (
switchport mode accessodertrunk), nicht aufdynamic-Ports. - Mit Voice-VLAN muss das Maximum mindestens 2 + Maximum des Access-VLANs betragen: Das Telefon erscheint je nach Modell im Daten- und im Voice-VLAN. Mit 3 und
maximum 1 vlan accessdarf genau ein PC hinter dem Telefon hängen. - Der letzte Befehl
switchport port-securityschaltet die Funktion ein; die übrigen Werte gelten erst dann.
Sticky-Learning: erlernte Adressen festschreiben
Mit mac-address sticky übernimmt der Switch die ersten erkannten MAC-Adressen als feste Einträge in die running-config:
interface GigabitEthernet1/0/5
switchport port-security mac-address sticky
switchport port-security mac-address sticky 0050.56a1.2b3c vlan access
write memory sind sie nach einem Neustart weg und werden neu gelernt – auch von einem Gerät, das gerade zufällig angeschlossen ist.Arbeitsplatzwechsel: Adressen löschen
Zieht ein Mitarbeiter mit neuem PC um, die gelernten Adressen des Ports löschen:
SW-EG-01# clear port-security sticky interface gi1/0/5
SW-EG-01# write memory
Bei vielen Umzügen ist Aging die bequemere Variante (statt Sticky):
SW-EG-01(config-if)# switchport port-security aging time 480
SW-EG-01(config-if)# switchport port-security aging type inactivity
Adressen, von denen 8 Stunden kein Verkehr kam, werden dann automatisch entfernt. Für Sticky-Adressen gilt Aging nicht.
Gesperrte Ports automatisch freigeben (optional)
SW-EG-01(config)# errdisable recovery cause psecure-violation
SW-EG-01(config)# errdisable recovery interval 300
Nur sinnvoll im Modus shutdown. Manuell wird ein Port mit shutdown und no shutdown wieder freigegeben.
Kontrolle
show port-security ! Übersicht: Ports, Maximum, Verletzungen, Modus
show port-security interface gi1/0/5 ! Details eines Ports inkl. letzter fremder MAC
show port-security address ! alle gesicherten MAC-Adressen
show interfaces status err-disabled ! gesperrte Ports
show logging | include PSECURE ! Meldungen zu Verletzungen
Im Modus restrict erzeugt jede Verletzung die Meldung %PORT_SECURITY-2-PSECURE_VIOLATION mit der fremden MAC-Adresse. Diese Meldungen gehören in das zentrale Logging bzw. SIEM, siehe Cisco Catalyst 2960-X: Syslog und SNMP einrichten.
Ergänzung: Storm Control
Gegen Broadcast-Stürme, etwa durch eine Schleife hinter einem Tischswitch, hilft zusätzlich Storm Control:
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# storm-control broadcast level 5.00
SW-EG-01(config-if-range)# storm-control multicast level 10.00
SW-EG-01(config-if-range)# storm-control action trap
Übersteigt der Broadcast-Anteil 5 % der Bandbreite, verwirft der Port den Überschuss und meldet es. Mit storm-control action shutdown wird der Port stattdessen gesperrt. Kontrolle: show storm-control.
Hinweise
- Grenzen: MAC-Adressen lassen sich fälschen. Port-Security hält Gelegenheitsanschlüsse und fremde Switches fern, ersetzt aber keine echte Authentisierung mit 802.1X, siehe Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren.
- Nicht auf Uplinks: Auf Trunks zu anderen Switches, zur Firewall oder zu Virtualisierungs-Hosts sieht der Port sehr viele MAC-Adressen – dort keine Port-Security einsetzen.
- Drucker und Kameras: Für Geräte, die selten senden, eignet sich Sticky ohne Aging.
- DHCP Snooping ergänzt Port-Security um Schutz vor fremden DHCP-Servern, siehe Cisco Catalyst 2960-X: DHCP Snooping konfigurieren.
- Bei Netzwerkzugangskontrolle und der Absicherung Ihrer Infrastruktur unterstützt Sie das Cybersecurity-Team von m.a.x. it.
Siehe auch
- Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
- Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren
- Cisco Catalyst 2960-X: DHCP Snooping konfigurieren
- MAC-Adressen Filterung mit Cisco IOS
Links und Quellen
- Cisco: Configuring Port-Based Traffic Control (Catalyst 2960-X, IOS 15.2(7)E)
- Cybersecurity-Leistungen von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
