交换机安全是网络管理的基础。通过端口安全、端口隔离和跨机VLAN这三种核心技术，可以有效杜绝非法接入、防范内部窥探，并实现跨楼层网络的安全互通。这篇内容提供了具体的配置方法和验证步骤，帮助快速构建一个更安全的网络环境。
智能速览
端口安全将MAC与端口绑定，防止私接设备。
端口隔离让同VLAN设备互不可见，保障隐私。
跨机VLAN通过Trunk实现安全的多交换机连接。
提供可直接复用的配置命令，简化操作。
精华内容
网络安全并非遥不可及，掌握交换机的基础安全配置就能解决大部分常见问题。下面将深入解析三种核心技术的具体配置与实战场景。
端口安全：杜绝私接
端口安全是网络的第一道防线，通过限制接口允许的MAC地址数量来防止未经授权的设备接入。其核心配置在于启用`port-security`功能，并将合法的MAC地址设置为“sticky”模式，让交换机自动学习并绑定。
一旦有其他设备尝试接入，交换机会依据配置的违规动作`violation shutdown`，立即将该端口置于err-disable状态，并物理关闭，从而彻底杜绝了宿舍或办公室等场景下的私接路由器、蹭网等行为。可通过`show port-security interface`命令验证配置状态，确保安全策略已生效。
端口隔离：内部互防
端口隔离技术解决了同一虚拟局域网（VLAN）内部的安全隐患，尤其适用于酒店客房、多租户办公室等需要保障用户间隐私的场景。配置时，只需将需要隔离的端口（如fa0/1-10）设置为`protected`模式。
配置完成后，这些受保护的端口之间将无法进行二层通信，即使它们同属于一个VLAN，彼此也完全“沉默”，ping测试将会超时。但它们仍可以与未被设置为protected的上行口或网关口（如fa0/24）正常通信，确保了对外访问的畅通，实现了对内隔离、对外互通的安全模型。
跨机VLAN：扩展网络
当网络规模扩大，需要跨越多台交换机时，跨机VLAN技术便派上用场。其核心是Trunk链路，它像一条多车道的高速公路，能同时承载多个VLAN的数据流。
配置时，需将交换机之间的连接端口（如fa0/24）设置为`trunk`模式，并通过`trunk allow vlan`命令明确指定允许通过的VLAN列表，这能有效防止不必要的广播风暴。确保两台交换机上的VLAN编号一致，Trunk链路便会自动协商成功，使得位于不同楼层的设备如同在同一个交换机下通信，ping测试成功即代表配置无误。
掌握这三种交换机安全配置，足以应对绝大多数中小型网络的基础安全需求。从设备接入控制到内部通信隔离，再到网络扩展，形成了一套完整的防护体系。未来，在此基础上还可以进一步学习更高级的访问控制列表（ACL）等技术，构建更加细粒度的安全策略。
