监控网络的摄像机点位固定、终端类型明确，天然适合做端口级管控。不做端口安全的交换机，任何插上网线就能接入摄像头网段的设备都畅通无阻，私接、仿冒、ARP 欺骗的隐患随之而来。本文按"端口安全 → 粘性绑定 → 802.1X → DHCP Snooping/DAI/IPSG"的层次，给出一套从接入层到网关的加固做法。
端口安全解决什么问题？
端口安全让每个端口只能学习指定数量的 MAC 地址，超限即按策略处置。摄像机点位端口应该只出现摄像机一块网卡，一旦出现第二块 MAC 流入，就说明有设备被私接或仿冒。默认只允许学习 1 个 MAC，正好匹配"一端口一摄像机"的典型模型。
| 违规策略 | 行为 | 适用场景 |
|---|---|---|
| shutdown | 立即禁用端口并记录日志 | 高敏感区域、防盗接 |
| restrict | 丢弃非法帧并告警，端口仍通 | 兼顾可用性与可观测性 |
| protect | 仅丢弃非法帧不告警 | 带宽受限、运维人力少 |
三步完成基本配置
- 端口先设 access 模式并划好 VLAN，关闭所有空闲物理端口，从根上减少攻击面；
- 启用端口安全并设上限：
switchport port-security后按需maximum 1（默认即 1）； - 选违规策略：高敏感点位用 shutdown，一般点位用 restrict 留出运维观察时间。
配置完成必须用 show 命令核对生效状态，并确认配置已保存，否则设备重启后策略丢失。
粘性学习与静态绑定：把合法设备钉死在端口上
粘性学习（sticky MAC）让端口自动把当前在线设备的学习 MAC 固化为静态条目，写入运行配置，重启后仍生效；适合点位固定、不想逐条手工录入 MAC 的项目。静态绑定则手工录入 mac-address aaaa.bbbb.cccc，适合关键设备，杜绝一切动态学习。两者可叠加 IP-MAC 绑定，防住改 IP 仿冒行为。
注意一个现实坑：手机、笔记本网卡的随机 MAC 功能会让合法设备反复变 MAC 被策略拦截。摄像机没有此问题，但临时接入笔记本调试时容易触发，运维要能识别，必要时禁用随机 MAC 或临时放宽端口。
802.1X 怎么和端口安全组合？
802.1X 以身份认证为准入，端口安全以 MAC 为准入，两者可叠加实现"身份+设备"双校验。常见模式：userLogin 允许端口下多个认证用户、首用户认证成功后其余免认证；userLoginSecure 要求基于 MAC 的 802.1X 且端口只允许一个认证用户，与摄像机场景匹配度高；userLoginWithOUI 额外放行指定 OUI 厂商设备，适合兼容不太支持 802.1X 的终端。
需注意 802.1X 依赖 RADIUS 服务器和客户端支持，摄像机等哑终端多数走 MAC 旁路认证（MAB），即设备不发 EAP 报文时，以 MAC 作用户名送认证。先确认交换机型号对 MAB 与端口安全的支持情况，再定方案。
DHCP Snooping 与 DAI：把网关层也管起来
DHCP Snooping 监听 DHCP 交互并生成绑定表（IP+MAC+端口+VLAN），非法 DHCP 服务器的报文直接被拒。DAI（动态 ARP 检测）把 ARP 报文与绑定表比对，不匹配即丢弃，防中间人和 ARP 欺骗；对静态 IP 的摄像机，需手工添加静态绑定表，否则合法 ARP 也会被误杀。IPSG（IP Source Guard）在二层接口做源 IP 过滤，配合绑定表防仿冒 IP。
工程参考顺序：先给摄像头 VLAN 开 DHCP Snooping 并确认动态/静态 IP 场景，再开 DAI、IPSG，逐个 VLAN 灰度放量，避免一开全断网。
日常维护与故障恢复
端口被 shutdown 后进入 errdisable 状态，需配 errdisable recovery 自动恢复或手动重启端口；合法设备反复被拦，先查随机 MAC 与虚拟网卡，再查绑定表是否过期。建议每月导出端口安全表存档，比对 MAC 变化趋势，异常接入行为早发现。端口安全排障要学会看关键输出：端口安全地址表里的违规计数持续增长，说明有设备在反复尝试接入；errdisable 状态的端口在日志里带原因字段，先读原因再恢复端口，别盲目重启。工程上建议把端口安全的告警接入运维平台，私接行为第一时间弹出，比事后翻日志高效得多。
- TL;DR：一端口一摄像机是最典型的端口安全模型，默认上限 1 个 MAC 即够用；违规策略按敏感度选——高敏感用 shutdown、一般点位用 restrict；粘性学习省去手工录 MAC，静态绑定钉死关键设备；随机 MAC 是合法设备被误拦的高频原因，先识别再调策略；DHCP Snooping 生成绑定表，DAI 拦 ARP 欺骗、IPSG 拦仿冒 IP，静态 IP 设备记得补静态绑定表；配置后必须保存并定期导出核对。
参考资料
- switch-bandwidth-planning
- video-vlan-acl-isolation
- network-cable-selection
- video-network-design