Configuração de port security: guia prático para provedores

O que é port security e o que ele evita

Port security é a função do switch que controla quais equipamentos, identificados pelo MAC, podem transmitir por uma porta. Ela evita a troca de aparelhos sem autorização e o enchimento proposital da tabela de MAC.

Numa VLAN que vários usuários dividem, dois ataques simples dão trabalho. Um aparelho pode responder ARP no lugar do gateway e desviar o tráfego dos vizinhos para si, e outro pode gerar milhares de MACs falsos até lotar a tabela do switch.

Com a tabela cheia, o switch de rede deixa de saber em que porta está cada destino e passa a repetir os quadros para todas as portas da VLAN. Quem estiver escutando enxerga tráfego que não era dele.

Fechar essas brechas faz parte do projeto de rede de camada 2 para provedores, que define as proteções de cada tipo de porta em redes corporativas, condomínios e VLANs compartilhadas.

Port security ou DHCP snooping?

Não é uma escolha entre um e outro, porque cada um vigia uma coisa diferente. O port security olha para quem está na porta, e o DHCP snooping olha para quem tenta entregar endereço na VLAN.

Na prática, as duas andam juntas na mesma porta. Um roteador doméstico ligado na rede do escritório esbarra no limite de MAC e, se passar, ainda tem as ofertas de DHCP descartadas.

Como funciona a configuração de port security?

O switch aprende os MACs que aparecem na porta até chegar ao limite configurado e trata qualquer MAC novo depois disso como violação. A reação a essa violação é escolhida pelo técnico, porta por porta.

Os MACs permitidos podem ser cadastrados à mão, aprendidos dinamicamente ou aprendidos e gravados na configuração. A última forma é a mais usada, porque dispensa cadastro e sobrevive a um reinício.

A ação shutdown é a padrão em muitos equipamentos [CONFIRMAR no manual do fabricante]. Por isso, quem ativa a função sem escolher a ação costuma descobrir o problema pelo telefone do suporte tocando.

MAC aprendido e gravado na configuração

No modo sticky, o switch grava o primeiro MAC que aparece na porta como se tivesse sido cadastrado. A troca do computador passa a exigir que alguém limpe o registro antigo.

Esse comportamento é uma vantagem em sala de servidores e em câmeras, onde o aparelho raramente muda. Em salas de reunião com notebooks de visitantes, ele vira fonte de chamados.

Inspeção de ARP e verificação de IP de origem

A inspeção de ARP compara cada resposta de ARP com a tabela de quem recebeu qual IP e descarta as que não batem. A verificação de IP de origem faz o mesmo com os pacotes, barrando quem usa endereço alheio.

As duas dependem da tabela montada na configuração de DHCP snooping. Ative o snooping primeiro, confira a tabela e só então ligue as proteções que leem dela.

Como escolher o limite de MAC por porta

O limite sai do que está ligado em cada porta, contando os aparelhos que aparecem atrás dela. Um número único para o switch inteiro ou deixa brecha ou derruba usuário.

• Ação restrict: descarta o excesso e registra, sem derrubar a porta.
• MAC gravado: o switch guarda o primeiro aparelho ligado em portas fixas.
• Inspeção de ARP com snooping: a tabela de vínculos serve de referência.
• Uplinks de fora: a proteção fica só nas portas de usuários.
• IP fixo cadastrado: impressoras e servidores com endereço manual entram na lista à mão.

Onde vale ligar no provedor

Na rede de assinantes com PPPoE, o port security pesa menos, porque cada cliente já é isolado pela sessão. O ganho aparece em redes corporativas atendidas pelo provedor, condomínios e VLANs com IP por DHCP.

Dentro do POP, ele também ajuda nas portas de gerência e de servidores, onde um aparelho desconhecido não tem motivo para aparecer. No núcleo do backbone, entre switches e roteadores, a função não se aplica.

Configuração de port security passo a passo

Comece por uma porta de teste, confira o comportamento e só depois replique para o resto do switch. O exemplo protege a porta de um usuário de escritório na VLAN 300, em sintaxe Cisco IOS-XE.

1. Levante cada porta: anote o que está ligado e quantos MACs aparecem nela hoje.
2. Confirme o DHCP snooping: a tabela de vínculos precisa estar completa na VLAN.
3. Marque o uplink: o uplink entra como confiável para a inspeção de ARP.
4. Aplique numa porta: limite, ação e MAC gravado na porta de teste.
5. Ligue ARP e IP de origem: inspeção na VLAN e verificação na porta.
6. Replique por tipo: use um modelo por tipo de porta, não um para o switch todo.

ip arp inspection vlan 300
!
interface GigabitEthernet1/0/5
 description USUARIO-SALA-12
 switchport mode access
 switchport access vlan 300
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict
 switchport port-security mac-address sticky
 ip arp inspection limit rate 15
 ip verify source
!
interface TenGigabitEthernet1/0/49
 description UPLINK
 ip arp inspection trust

O comando de limite de taxa da inspeção de ARP aceita até 15 pacotes de ARP por segundo na porta. Passar disso costuma desligar a porta por erro [CONFIRMAR no manual do fabricante], então a taxa precisa caber num usuário normal.

Na prática: proteger um andar de escritório sem gerar chamados

Num andar com trinta mesas, o risco está nas exceções: a impressora com IP fixo, o telefone com computador atrás, a sala de reunião. O roteiro abaixo trata cada uma antes da janela.

1. Exporte a tabela de MAC do switch e marque, porta por porta, o que é computador, telefone, câmera ou impressora.
2. Cadastre as impressoras e os servidores com IP fixo na tabela manual de vínculos.
3. Aplique o modelo de cada tipo de porta com a ação restrict, nunca shutdown na primeira rodada.
4. Acompanhe os contadores de violação por alguns dias e ajuste os limites antes de endurecer a ação.

Depois de uma semana sem violações legítimas, a equipe decide se alguma porta merece a ação shutdown, como as de câmeras em áreas externas.

Erros comuns que derrubam usuários legítimos

Os erros de port security quase sempre tiram do ar quem deveria estar protegido. A causa costuma ser limite curto, ação dura ou dependência do DHCP snooping esquecida.

O último erro aparece quando alguém aplica o mesmo modelo em todas as portas. Por um trunk passam os MACs de todos os usuários do switch de baixo, e o limite estoura no primeiro minuto; a configuração de trunking ajuda a separar o que é porta de usuário do que é enlace entre switches.

Quando o sintoma é a rede inteira lenta, e não usuários isolados sem acesso, a causa provável é outra. Broadcast em excesso pede a configuração de storm control.

Checklist de validação e rotina do suporte

Valide numa porta antes de replicar e deixe escrito como o suporte libera um aparelho novo. Sem esse roteiro, a proteção é desligada no primeiro chamado urgente.

show port-security
show port-security interface GigabitEthernet1/0/5
show ip arp inspection statistics vlan 300
show ip verify source

A Táquion Tech configura as proteções de porta dentro do desenho da camada 2, com os modelos por tipo de porta e o roteiro de liberação entregues ao suporte.

Como o suporte libera um aparelho novo

A liberação consiste em apagar o MAC gravado na porta e deixar o switch aprender o aparelho novo. Se a porta foi desligada por violação, ela também precisa ser reativada.

Registre cada liberação no chamado, com porta, data e motivo. Assim, uma troca frequente na mesma porta vira sinal de alerta, e não rotina.

Perguntas frequentes sobre configuração de port security

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech