Este puerto ya tiene dueño
Cualquiera puede desconectar una PC y conectar su laptop. Port security hace que el switch reconozca a quién pertenece cada puerto y decida qué hacer con un intruso.
Primero, la idea completa
Mira el video entero o salta a la parte que quieras repasar. Después, cada idea tiene su propia escena para tocarla.
Cualquiera puede conectar cualquier cosa
En una sala de cómputo, cada escritorio tiene un cable que llega a un puerto del switch. Si alguien desconecta la PC y conecta su laptop, el switch la acepta sin preguntar: aprende su MAC y le da red, como a cualquier otra.
Peor aún: alguien puede conectar un hub o un switch pequeño para que se conecten varios equipos, o un programa que inventa miles de MAC por segundo para llenar la tabla del switch (el ataque de MAC flooding de la primera lección). Con la tabla llena, el switch inunda todo como un hub y el atacante puede espiar.
02 · La ideaUn guardia que memoriza caras
Imagina un guardia en cada escritorio. Memoriza la cara de quien se sienta ahí (o de los dos o tres que tú le digas). Si llega alguien más, puede reaccionar de tres formas: ignorarlo en silencio, ignorarlo y anotarlo en su libreta, o cerrar el escritorio hasta que venga el encargado a abrirlo.
Eso es port security: limita qué direcciones MAC, y cuántas, pueden usar cada puerto de acceso.
03 · El mecanismoMáximo, sticky y violación
- Solo funciona en puertos de acceso: primero
switchport mode access, luegoswitchport port-security. - Máximo: cuántas MAC puede usar el puerto. Por defecto es 1 (
switchport port-security maximum 2lo cambia). - Cómo se conocen las MAC permitidas: puedes escribirlas a mano, o dejar que el puerto aprenda las primeras que vea. Con sticky (
mac-address sticky), las aprendidas se escriben en la configuración en ejecución. Si no la guardas (copy running-config startup-config), se pierden al reiniciar. - Violación: qué hacer cuando llega una MAC que sobra.
Elige el modo de violación y conecta un intruso al puerto. Compara qué pasa con el intruso, con el dueño y con el registro.
| Modo | Tráfico del intruso | Avisa y cuenta | El puerto |
|---|---|---|---|
protect | Se descarta | No | Sigue funcionando |
restrict | Se descarta | Sí (mensaje y contador) | Sigue funcionando |
shutdown (por defecto) | Se descarta | Sí | Se apaga: err-disabled |
Un puerto en err-disabled no vuelve solo: hay que entrar a la interfaz y hacer shutdown y luego no shutdown (o configurar una recuperación automática). Así nadie puede “probar suerte” varias veces.
Antes de leer la respuesta
show port-security interface fa0/1 te muestra el estado (Secure-up o Secure-shutdown), el máximo, las MAC aprendidas y el contador de violaciones. Si un puerto “murió” de repente, revisa ahí antes de cambiar el cable.Tu turno: protege la sala de cómputo
Una sala con su switch. Fa0/3 llega a un hub donde trabajan dos equipos. El 🔒 aparece en los puertos con port security. Debajo de cada equipo ves su MAC, porque eso es lo que mira el switch. El botón Cambiar PC desconecta la PC del alumno y conecta una laptop desconocida en su lugar.
Comprueba lo que entendiste
Cada respuesta incorrecta explica por qué parece correcta y en qué falla.