在日常网络管理中，交换机的端口安全功能常被用来防止非法设备接入局域网。很多人刚开始配置时会疑惑：端口安全的默认状态到底是什么？其实，大多数主流交换机（比如思科Cisco系列）出厂时，端口安全默认是关闭的。
默认状态下端口不设限
也就是说，交换机的每个物理端口在刚启用时，允许任意数量的MAC地址通过该端口学习并通信。比如你把一台电脑插上网线，交换机会自动记录它的MAC地址；之后再换一台设备，也能正常联网，系统不会阻止。这种“来者不拒”的状态就是默认行为。
为什么要开启端口安全？
设想一下办公室场景：某天你发现网络变慢，排查后发现有人私自接了个路由器或手机开热点，占用了大量带宽。如果端口安全没开，这种行为很难从网络层面限制。而一旦启用端口安全，就可以限定每个端口只允许一个或几个特定MAC地址通信，其他设备插上就上不了网。
如何查看和配置？以思科为例
进入交换机命令行界面，可以通过以下命令查看某个接口的安全状态：
show port-security interface fa0/1如果返回信息显示 "Port Security: Disabled"，说明这个接口目前没开启保护。要手动开启，可以这样配置：
interface fa0/1
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security mac-address sticky这段配置的意思是：把fa0/1口设为接入模式，启用端口安全，最多允许1个MAC地址，并且自动“粘住”第一个接入设备的地址。
sticky MAC是个实用功能
很多管理员喜欢用sticky选项，因为它能自动保存首次连接设备的MAC，省去手动输入的麻烦。比如新员工入职，电脑一插网线就能上网，换别人设备就无效，既方便又安全。
不过要注意，即便开启了端口安全，也要定期检查日志，避免合法设备更换网卡或虚拟机迁移导致异常断网。合理设置违规处理方式（如restrict、shutdown）也很关键，别让一个小误操作引发大面积故障。