개념 사전/네트워크 / 스위치 접근 보호
개념 사전 · 개념

Port Security

Port Security · 포트 보안

는 스위치 포트에서 허용할 출발지 MAC과 그 수를 제한하는 기능이다. MAC 기준의 접근 제약이며 IP 소유권·사용자 신원·암호학적 인증을 대신하는 기능은 아니다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

01무엇이고, 어떤 일을 하나

  • 승인한 MAC 집합과 최대 수를 기준으로 예상하지 않은 단말 연결을 제한한다.
  • Static·Dynamic· 방식으로 허용 상태의 지정·학습·저장 방법을 선택한다.
  • 위반 모드와 카운터를 통해 차단 범위·알림·포트 중지 여부를 제어한다.

02어떤 순서로 동작하나

  1. 허용 집합 계획

    단말·전화기· 등 포트에서 실제로 사용할 MAC 수를 정한다. 케이블이 하나라는 이유로 허용 수를 1로 고정하면 정상 다중 MAC 구성이 차단될 수 있다.

  2. 학습 방식 지정

    Static은 관리자가 주소를 지정하고 Dynamic은 허용 수까지 상태를 학습한다. 는 학습한 항목을 running-config에 기록하며 재부팅 후 유지에는 설정 저장이 필요하다.

  3. 입력 주소 평가

    수신 프레임의 출발지 MAC을 secure 항목과 최대 수에 대조한다. 일반 스위치 전달표에 주소가 보인다는 사실과 이 승인했다는 사실은 구분한다.

  4. 위반과 복구

    위반 모드에 따라 프레임만 차단하거나 알림·카운터를 남기거나 포트를 로 만든다. 승인 목록·단말 교체·배선 원인을 고친 뒤 통제된 복구로 정상 학습을 확인한다.

03먼저 알아둘 용어와 구성요소

정책이 허용하도록 등록하거나 학습한 MAC 주소다.
학습한 MAC을 running-config의 보안 항목으로 기록하는 방식이다.
위반 프레임을 폐기하면서 위반 횟수와 알림을 제공하는 Cisco 모드다.
장비가 오류·보호 조건으로 포트 동작을 중지한 상태다. 원인 해결과 복구 절차가 필요하다.
동적으로 학습한 MAC을 설정 형태로 유지하도록 하는 Cisco 방식이다. 재부팅 보존에는 저장 조건도 필요하다.
허용되지 않은 MAC의 프레임을 폐기하는 Cisco 위반 처리 모드다. 일반적으로 보다 알림·계수 기능이 제한된다.
위반 시 포트를 상태로 전환하는 Cisco 모드다.
LEARN THROUGH PRACTICE

학습 MAC 한도를 넘었을 때 Err-disabled 원인 추적하기

학습 수·위반 모드·로그를 연결하여 ping 실패가 에서 발생했는지 증명한다.

실습 구성과 전제

  • SW1 Gi0/1은 하위 스위치 연결이며 maximum 3, , 위반 모드를 사용한다. 하위 여러 단말의 출발지 MAC이 이 포트로 들어온다.
  • Gi0/2는 static MAC과 , Gi0/3은 maximum 2와 인 비교 포트다. 화면의 서로 다른 포트 정책을 섞지 않는다.

  1. 허용 수와 실제 학습 수를 먼저 읽는다

    • 초기 Gi0/1은 Maximum MAC Addresses 3, Total 1, 1이다. 뒤 화면은 Total 3, 3이므로 학습 가능한 수가 채워진 상태다.
    • 3개가 찼다는 사실 자체는 위반이 아니다. 추가 미허용 출발지 MAC이 들어올 때 해당 정책이 작동한다. 하위 스위치 포트는 단말 한 대의 MAC만 보인다고 가정하면 안 된다.
    text
    show port-security interface GigabitEthernet0/1
show port-security address

    실습 흐름을 재구성한 명령 예시. 장치·인터페이스 이름은 구성에 맞춰 사용한다.

    실습 · 실습·개념 참고 화면 3원본 크기로 보기 ↗
    • Gi0/1은 Secure-up, Shutdown 모드이고 Maximum 3·Total 1·Sticky 1이다.
    • Gi0/2는 Protect, Gi0/3은 Restrict로 포트별 모드가 다르다.
    실습 · 실습·개념 참고 화면 7원본 크기로 보기 ↗
    • Gi0/1 Total MAC Addresses와 Sticky MAC Addresses가 모두 3이다.
    • 이 시점의 Gi0/1 위반 카운터는 0이며 포트 상태도 Secure-up이다.
    확인 기준

    상한과 현재 수를 구분한다. 정상 장비가 이미 점유한 MAC 목록을 확인하기 전 한도를 무작정 높이지 않는다.

  2. 새 출발지의 트래픽과 차단 결과를 연결한다

    • 실습은 추가 PC가 게이트웨이로 통신하면서 Gi0/1의 허용 수를 넘기는 조건이다. 모드는 위반 프레임만 버리고 끝나는 것이 아니라 포트를 로 만든다.
    • 로그의 psecure-violation과 상태를 함께 보면 단순 케이블 단선과 구분할 수 있다. 다른 정상 단말도 같은 하위 링크를 쓰므로 함께 통신을 잃을 수 있다.
    text
    show interfaces status err-disabled
show logging | include PSECURE|ERR_DISABLE
show port-security interface GigabitEthernet0/1

    실습 흐름을 재구성한 명령 예시. 장치·인터페이스 이름은 구성에 맞춰 사용한다.

    실습 · 실습·개념 참고 화면 16원본 크기로 보기 ↗
    • PSECURE_VIOLATION 메시지와 Gi0/1을 err-disable로 전환한다는 로그가 함께 보인다.
    • 로그에는 Gi0/3의 위반도 별도로 나타나므로 포트별 사건을 구분해야 한다.
    실습 · 실습·개념 참고 화면 14원본 크기로 보기 ↗
    • Port Gi0/1의 Status가 err-disabled다.
    • Reason은 psecure-violation으로 명시되어 있다.
    확인 기준

    시간·포트·위반 원인이 일치해야 이 사건으로 연결한다. ping 실패 한 번만으로 라고 단정하지 않는다.

  3. 원인을 제거하고 포트를 통제된 방식으로 복구한다

    • 허용하지 않은 단말을 분리하거나 정당한 변경에 맞춰 허용 목록을 수정한 뒤 포트를 재활성화한다. 원인을 남긴 채 재활성화하면 다시 차단될 수 있다.
    • 학습값은 running-config에 추가된다. 재부팅 뒤에도 유지하려면 검증한 설정을 startup-config에 저장해야 하며, 자동 학습 즉시 영구 저장되는 것은 아니다.
    text
    interface GigabitEthernet0/1
 shutdown
 no shutdown
end
show port-security interface GigabitEthernet0/1
show interfaces status err-disabled

    위반 원인이 먼저 제거되었다는 조건의 수동 복구 예시다.

    확인 기준

    복구 뒤 Secure-up·위반 카운터·허용 MAC 목록을 다시 확인한다. /no 은 해당 실습 포트에만 적용한다.

  4. Protect와 Restrict는 다른 증거를 남긴다

    • 는 위반 프레임을 버려도 같은 방식의 위반 알림·카운터를 제공하지 않을 수 있다. 는 차단하면서 카운터·로그를 남기고 정상 포트 전달은 유지한다.
    • 따라서 로그가 없다는 이유로 의 차단을 배제할 수 없다. 구성과 허용 MAC을 대조하고 정상·비허용 단말을 분리해 테스트해야 한다.
    확인 기준

    Gi0/2·Gi0/3의 모드 차이를 확인한다. 모든 위반을 장애로 일반화하지 않는다.

실습에서 확인한 동작 원리

  • 장애 원인은 학습 수, 정책, 프레임 유입, 상태 변화의 순서로 증명한다.
  • 하위 스위치 연결의 위반은 여러 정상 단말의 통신까지 영향을 줄 수 있다.
관련 개념·전체 실습 화면 이어서 읽기 →
동작·명령 참고 문서

04예제로 따라가기

  • 가상 포트에 전화기와 PC가 함께 연결되면 두 출발지 MAC이 보일 수 있다. maximum=1로 제한했다면 두 번째 장치의 위반은 공격 증거보다 설계된 허용 수와 실제 구조의 불일치로 먼저 해석한다.
  • 허용된 PC를 교체했는데 이전 주소가 남아 있으면 새 MAC이 제한에 걸릴 수 있다. running-config와 secure table에서 이전 주소가 차지한 자리를 확인하고 승인된 변경으로 갱신한다.
  • 상태에서 특정 프레임만 버려지는 경우와 위반으로 포트 전체가 인 경우는 영향 범위가 다르다. show port-security와 인터페이스 상태를 같은 시각으로 비교한다.

05혼동하기 쉬운 점과 확인 기준

  • 는 허용된 출발지 MAC을 비교한다. 그 MAC을 모방한 프레임의 실제 사용자를 암호학적으로 확인하는 기능은 아니므로 과 같은 보안 수준으로 해석하지 않는다.
  • PC 교체 뒤 예전 이 남아 maximum을 채우면 새 PC가 위반으로 보일 수 있다. 단순 재시작보다 실제 학습 항목과 저장된 설정을 비교해야 지속 원인을 찾을 수 있다.
  • 전화기 뒤 PC나 을 가진 호스트에서는 한 물리 포트로 여러 출발지 MAC이 들어올 수 있다. maximum은 케이블 수가 아니라 승인할 MAC 집합과 기능별 제한에 맞춰 해석한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.

Port Security·DHCP Snooping·DAI의 검증 경계실제 포트 교체 실습에서 MAC 학습과 위반 모드를 비교하고, DHCP 바인딩을 이용한 ARP·IP 검증 및 복구 절차로 이어갑니다.상세 노트 읽기 →

공식 문서 · 표준

기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.