Senior Acquisitions Editor: Kenyon Brown Development Editor: Kim Wimpsett

switchport port-security maximum 1
Switch(config-if)#
switchport port-security violation shutdown
These commands really are probably the most popular because they prevent random users from connecting to a
specific switch or access point that’s in their office. The port security default that’s immediately set on a port when
it’s enabled is 
maximum
1
and 
violation shutdown
. This sounds okay, but the drawback to this is that it only
allows a single MAC address to be used on the port, so if anyone, including you, tries to add another host on that
segment, the switch port will immediately enter error-disabled state and the port will turn amber. And when that
happens, you have to manually go into the switch and re-enable the port by cycling it with a 
shutdown
and then a
no shutdown
  command.
Probably one of my favorite commands is the 
sticky
command, and not just because it’s got a cool name. It also
makes very cool things happen! You can find this co mmand under the 
mac-address
command:
Switch(config-if)#
switchport port-security mac-address sticky
Switch(config-if)#
switchport port-security maximum 2
Switch(config-if)#
switchport port-security violation shutdown
Basically, with the 
sticky
command you can provide static MAC address security without having to type in
absolutely everyone’s MAC address on the network. I like things that save me time like that!
In the preceding example, the first two MAC addresses coming into the port “stick” to it as static addresses and will
be placed in the running-config, but when a third address tried to connect, the port would shut down immediately.
I’ll be going over port security CCENT objectives again in the configuration examples later in this
chapter. They're important!
Let me show you one more example. 
Figure 10.6
 displays a host in a company lobby that needs to be secured
against the Ethernet cable used by anyone other than a single authorized individual.
323

---

FIGURE 10.6
 Protecting a PC in a lobby
What can you do to ensure that only the MAC address of the lobby PC is allowed by switch port Fa0/1?
The solution is pretty straightforward because in this case, the defaults for port security will work well. All I have
left to do is add a static MAC entry:
Switch(config-if)#