はじめに
CiscoスイッチのPort Security、設定自体は簡単なんだけど、パラメータの組み合わせで挙動が結構変わる。特にviolation modeとstickyラーニングの理解が曖昧だと、本番導入後に「ポートが全部err-disabledになった」みたいな事故が起きる。
この記事では、Port Securityの設定手順と現場でよくあるハマりどころをまとめた。
Port Securityとは
Port Securityは、スイッチの各ポートに「接続を許可するMACアドレス」を制限する機能。認証サーバー不要で、スイッチ単体で完結するのがメリット。
前提条件:
- switchport mode access が必須（トランク・EtherChannelメンバーは不可）
- dynamic desirableのままだとエラーになる
MACアドレス学習方式（3種類）
| 方式 | 登録方法 | 再起動後 | ユースケース |
|---|---|---|---|
| Static | CLIで手入力 | configに保存 | サーバールーム等 |
| Dynamic | 自動学習 | 消える | テスト環境 |
| Sticky | 自動学習→configに書込 | write memで永続化 | オフィス（最も多い） |
実務ではstickyが圧倒的に多い。Staticは100ポート超のスイッチでは現実的じゃないし、Dynamicは再起動で消えるから運用が面倒。
違反モード（Violation Mode）
| モード | 動作 | Syslog | 復旧方法 |
|---|---|---|---|
| shutdown（デフォルト） | ポートをerr-disabledにして遮断 | あり | shut → no shut |
| restrict | 不正MACのフレームだけ破棄 | あり | 自動（不正機器外すだけ） |
| protect | 不正MACのフレームだけ破棄 | なし | 自動 |
おすすめはrestrict。 shutdownはポートが完全に死ぬし、protectはログが出ないので不正接続に気づけない。
IP電話+PCのデイジーチェーン構成では、maximumを2以上に設定すること。1のままだと朝一で全ポートerr-disabledになる。
設定手順
Switch(config)# interface GigabitEthernet1/0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security violation restrict
Switch(config-if)# switchport port-security mac-address sticky
エージング設定（オプション）:
Switch(config-if)# switchport port-security aging time 120
Switch(config-if)# switchport port-security aging type inactivity
err-disabled自動復旧（shutdownモード使用時は必須）:
Switch(config)# errdisable recovery cause psecure-violation
Switch(config)# errdisable recovery interval 300
確認コマンド
| コマンド | 用途 |
|---|---|
show port-security |
全ポートの状態一覧 |
show port-security interface [IF] |
特定ポートの詳細 |
show port-security address |
学習済みMAC一覧 |
show errdisable recovery |
自動復旧の設定確認 |
show interfaces status err-disabled |
err-disabledポート一覧 |
よくあるトラブル
ポートがerr-disabledになった
→ show port-security interface [IF] で Last Source Address を確認。不正機器を外して shut → no shut で復旧。
PC交換後にポートが使えない
→ stickyで学習済みのMACが残ってるので手動削除:
Switch(config-if)# no switchport port-security mac-address sticky [旧MAC]
Switch(config-if)# shutdown
Switch(config-if)# no shutdown
DHCP Snooping・DAIとの組み合わせ
Port Security + DHCP Snooping + DAIの3つをセットで入れるのが現場の鉄板構成。MACアドレス制限・不正DHCPサーバー排除・ARPスプーフィング防止をL2レベルで実現できる。
詳しくはブログで
この記事の完全版（構成図・プログレスバー付き比較・エージング詳細設定など）はブログで公開しています。
👉 Cisco Port Security設定手順｜sticky・違反モードの使い分けとerr-disabled対処法【実機検証】