Cisco Port Security: Guia Completo de Configuração e Boas Práticas

Port Security é um recurso de controle de tráfego Camada 2 em switches Cisco Catalyst que **restringe entrada a uma interface limitando e identificando endereços MAC** permitidos a acessar a porta. É a primeira linha de defesa contra MAC flooding, dispositivos rogue e acesso não autorizado à rede.

Como Funciona

Aprendizado: Switch aprende MACs de origem na porta (dinâmico) ou você configura (estático/sticky).
Aplicação: Frame chega → MAC de origem verificado contra tabela MAC segura para aquela porta.
Ação de Violação: Se MAC não autorizado ou max-count excedido → **shutdown / restrict / protect** (configurável).

Três Modos de Operação

Modos de Violação (O Que Acontece Quando Limite Excedido)

Modo	Como MACs Adicionados	Persistência	Caso de Uso
Estático	Manual: `switchport port-security mac-address 0011.2233.4455`	Sobrevive reboot (em running-config)	Servidores, impressoras, telefones IP — endpoints conhecidos, fixos.
Dinâmico	Aprendido de frames de entrada (primeiro a chegar, primeiro servido)	Perdido no link-down / reboot / shutdown	Ambientes low-admin; não recomendado para segurança.
Sticky (Recomendado)	Aprendido dinamicamente, então auto-convertido para estático no running-config	Sobrevive reboot se `copy run start`	Melhor equilíbrio: onboarding zero-touch, depois lockdown.

Modo	Ação	Syslog / SNMP	Estado da Porta	Recuperação
shutdown (padrão)	Err-disables porta, para todo tráfego	Sim / Sim	err-disabled	Manual: `shut` / `no shut` ou `errdisable recovery`
restrict	Descarta frames violadores, mantém porta up	Sim / Sim	Up	Auto quando MAC válido retorna
protect	Descarta frames violadores, sem alerta	Não / Não	Up	Auto

Melhor prática: Use **`restrict`** para portas de usuário (visibilidade + continuidade); **`shutdown`** para portas servidor/uplink.

Comandos Chave de Configuração (Modo Config Interface)

interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 2 ! Permite 2 MACs (PC + telefone IP)
 switchport port-security violation restrict
 switchport port-security mac-address sticky ! Aprendizado sticky
 switchport port-security aging time 1440 ! Opcional: envelhece após 24h inatividade
 spanning-tree portfast
 spanning-tree bpduguard enable
 end
 wr

Recursos Avançados

Envelhecimento: `switchport port-security aging {static | time | type {absolute | inactivity}}` — remove MACs seguros obsoletos. Crítico para hot-desking.
Integração Voice VLAN: `switchport voice vlan 20` + `switchport port-security maximum 3` (1 PC + 1 Telefone + 1 buffer). MAC do telefone aprendido na voice VLAN, PC na access VLAN.
Recuperação Err-disable: `errdisable recovery cause psecure-violation` + `errdisable recovery interval 300` — auto-recuperação após 5 min.
DHCP Snooping / DAI / IP Source Guard: Trio Camada 2+3. Port Security = MAC; DHCP Snooping = binding IP/MAC; DAI = validação ARP.

Comandos de Verificação

show port-security interface Gi1/0/1
show port-security address
show errdisable detect
show errdisable recovery

Armadilhas Comuns

Esquecer `switchport mode access` em portas trunk (port-security só funciona em access/voice).
Definir `maximum 1` em porta com telefone IP → MAC do telefone conta → PC recebe violação.
Usar `violation protect` — drops silenciosos = pesadelos de troubleshooting invisíveis.
Não salvar MACs sticky (`wr`) → perdidos no reload.
Habilitar em portas uplink/trunk — quebra switching.

Contexto Moderno (2024)

Port Security é **fundamental mas insuficiente sozinho**. Tecidos campus modernos usam **Cisco ISE / TrustSec (SGT)**, **MAB (MAC Auth Bypass)**, **802.1X**, e **Profiling** para acesso baseado em identidade. Port Security permanece o **último recurso de trava MAC** no fio. Habilite em todo lugar, mas construa sua política no ISE.