Senior Acquisitions Editor: Kenyon Brown Development Editor: Kim Wimpsett

config t
Switch(config)#
int f0/1
Switch(config-if)#
switchport mode access
Switch(config-if)#
switchport port-security
Switch(config-if)#
switchport port-security ?
aging Port-security aging commands
mac-address Secure mac address
maximum Max secure addresses
violation Security violation mode
322

---

violation Security violation mode

Most Cisco switches ship with their ports in desirable mode, which means that those ports will desire to trunk when
sensing that another switch has just been connected. So first, we need to change the port out from desirable mode
and make it an access port instead. If we don’t do that, we won’t be able to configure port security on it at all!
Once that’s out of the way, we can move on using our 
port-security
commands, never forgetting that we must
enable port security on the interface with the basic command 
switchport port-security
. Notice that I did
this after I made the port an access port!
The preceding output clearly illustrates that the 
switchport port-security
command can be used with four
options. You can use the 
switchport port-security mac-address
mac-address
command to assign
individual MAC addresses to each switch port, but be warned because if you go with that option, you had better
have boatloads of time on your hands!
You can configure the device to take one of the following actions when a security violation occurs by using the
switchport port-security
command:
1. Protect
: The protect violation mode drops packets with unknown source addresses until you remove
enough secure MAC addresses to drop below the maximum value.
2. Restrict
: The restrict violation mode also drops packets with unknown source addresses until you
remove enough secure MAC addresses to drop below the maximum value. However, it also generates a log
message, causes the security violation counter to increment, and sends an SNMP trap.
3. Shutdown
: Shutdown is the default violation mode. The shutdown violation mode puts the interface into
an error-disabled state immediately. The entire port is shu t down. Also, in this mode, the system generates
a log message, sends an SNMP trap, and increments the violation counter. To make the interface usable,
you must perform a 
shut/no shut
on the interface.
 If you want to set up a switch port to allow only one host per port and make sure the port will shut down if this
rule is violated, use the following commands like this:
Switch(config-if)#