Port Security Cisco : définition, configuration et vérification sur un switch
Le Port Security est une fonctionnalité de sécurité de couche 2 disponible sur les switchs Cisco, qui permet de contrôler les équipements autorisés à se connecter sur un port access en limitant le nombre et l’identité des adresses MAC acceptées. Lorsqu’un appareil non autorisé tente de communiquer sur le port, le switch applique un mode de violation prédéfini pouvant aller jusqu’à la désactivation complète du port. Cet article explique le fonctionnement du Port Security, sa configuration en CLI, les trois modes de violation disponibles, ainsi que les commandes de vérification et la procédure pour récupérer un port passé en état err-disabled.
Fonctionnement du Port Security sur un switch Cisco
Le principe du Port Security repose sur l’association d’un port physique à une ou plusieurs adresses MAC autorisées. Dès qu’un équipement se connecte, le switch enregistre ou vérifie son adresse MAC source. Si le nombre maximal d’adresses autorisées est dépassé, ou si une adresse MAC inconnue tente d’utiliser le port, une violation de sécurité est déclenchée et le mode configuré détermine la réaction du switch.
Cette fonctionnalité s’applique exclusivement sur des ports configurés en mode access, jamais sur des ports trunk ou en mode dynamique, qui doivent d’abord être basculés en access avant toute activation du Port Security.
Le Port Security s’intègre dans une logique de défense en profondeur au niveau de la couche 2 du modèle OSI. Contrairement à un pare-feu qui filtre le trafic selon des règles de couche 3 ou 4, cette fonctionnalité agit directement au niveau physique du switch, avant même que le trafic ne soit routé ou analysé plus haut dans la pile réseau. Elle est particulièrement pertinente dans les environnements où l’accès physique aux prises réseau n’est pas totalement maîtrisé, comme les salles de réunion, les zones d’accueil ou les open spaces partagés, où un utilisateur pourrait être tenté de débrancher un poste autorisé pour brancher son propre équipement.
Adresses MAC statiques, dynamiques et sticky
Trois méthodes permettent de définir les adresses MAC autorisées sur un port sécurisé.
Les adresses statiques sont saisies manuellement par l’administrateur dans la configuration. Elles offrent un contrôle précis mais demandent une gestion manuelle pour chaque port.
Les adresses dynamiques sont apprises automatiquement par le switch dès la connexion d’un équipement, mais elles ne sont pas conservées après un redémarrage, ce qui oblige à un nouvel apprentissage à chaque coupure.
Les adresses sticky combinent les deux approches : le switch apprend automatiquement les premières adresses MAC détectées sur le port, comme en mode dynamique, mais les ajoute directement à la configuration courante, comme des adresses statiques. Ce mode évite la ressaisie manuelle tout en garantissant une meilleure persistance, à condition de sauvegarder la configuration avec la commande write memory ou copy running-config startup-config pour que les adresses MAC sticky survivent à un redémarrage.
Les trois modes de violation : protect, restrict et shutdown
Lorsqu’une violation de sécurité est détectée, le switch applique l’un des trois modes suivants, chacun ayant un comportement distinct.
| Mode | Trafic non autorisé | Journalisation | État du port |
|---|---|---|---|
| Protect | Bloqué silencieusement | Aucune alerte générée | Le port reste actif |
| Restrict | Bloqué | Violation comptabilisée et journalisée | Le port reste actif |
| Shutdown | Bloqué | Violation journalisée | Le port passe en état err-disabled |
Le mode protect est le plus discret : il bloque le trafic indésirable sans générer d’alerte ni incrémenter de compteur, ce qui le rend peu adapté à un suivi de sécurité rigoureux. Le mode restrict ajoute une traçabilité en enregistrant chaque violation, tout en laissant le port fonctionnel pour les adresses autorisées. Le mode shutdown, configuré par défaut sur les switchs Cisco, est le plus strict : il désactive entièrement le port dès la première violation détectée, ce qui impose une intervention manuelle pour le réactiver.
Configuration complète du Port Security sur un port access
Voici une configuration CLI type, applicable directement sur une interface access d’un switch Cisco, par exemple dans un environnement Cisco Packet Tracer.
Switch(config)# interface FastEthernet0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security mac-address sticky
Switch(config-if)# switchport port-security violation restrict
Chaque commande a un rôle précis. switchport mode access fixe le port en mode access, condition indispensable avant toute activation du Port Security. switchport port-security active la fonctionnalité sur l’interface. switchport port-security maximum 2 définit le nombre maximal d’adresses MAC autorisées simultanément, ici deux, un réglage courant lorsqu’un téléphone IP et un ordinateur partagent le même port grâce au port du téléphone. switchport port-security mac-address sticky active l’apprentissage automatique persistant des adresses MAC. Enfin, switchport port-security violation restrict définit le comportement du switch en cas de dépassement, ici la journalisation sans coupure du port.
Pour un port destiné à un poste fixe unique, une configuration plus stricte avec maximum 1 et violation shutdown reste la pratique la plus courante en environnement de production.
Commandes de vérification du Port Security
Une fois la configuration appliquée, plusieurs commandes permettent de contrôler son bon fonctionnement.
Switch# show port-security
Switch# show port-security interface FastEthernet0/1
Switch# show port-security address
La commande show port-security affiche une vue globale des ports sécurisés, avec le nombre d’adresses MAC autorisées, apprises et le nombre de violations enregistrées. show port-security interface détaille le statut d’un port précis, y compris son mode de violation actif et son état actuel. show port-security address liste l’ensemble des adresses MAC associées à chaque port sécurisé, utile pour vérifier qu’une adresse sticky a bien été apprise et enregistrée.
Récupérer un port passé en état err-disabled
Lorsqu’un port configuré en mode shutdown détecte une violation, il passe automatiquement en état err-disabled et cesse de transmettre tout trafic, y compris celui des adresses MAC autorisées. Avant toute réactivation, il est indispensable d’identifier la cause de la violation, par exemple un équipement non autorisé branché par erreur ou un câble reliant deux ports du même switch créant une boucle.
Une fois la cause corrigée, le port peut être réactivé manuellement avec la séquence suivante :
Switch(config)# interface FastEthernet0/1
Switch(config-if)# shutdown
Switch(config-if)# no shutdown
Il est également possible de configurer une récupération automatique après un délai défini grâce à la fonctionnalité errdisable recovery, évitant ainsi une intervention manuelle systématique sur les environnements avec de nombreux ports sécurisés.
Erreurs fréquentes et limites du filtrage par adresse MAC
Plusieurs erreurs reviennent régulièrement lors de la configuration du Port Security. Le port doit impérativement être en mode access avant l’activation, sous peine d’un message d’erreur bloquant. Un nombre maximum d’adresses MAC mal ajusté, trop bas pour un poste avec téléphone IP ou trop élevé pour un simple poste fixe, peut provoquer des violations inattendues ou au contraire réduire l’efficacité du contrôle. Enfin, oublier de sauvegarder la configuration après l’apprentissage d’adresses sticky entraîne leur perte au redémarrage suivant.
Le filtrage par adresse MAC présente toutefois une limite structurelle : une adresse MAC peut être usurpée relativement facilement par un équipement malveillant, ce qui rend le Port Security efficace contre les branchements accidentels ou non autorisés, mais insuffisant face à une attaque ciblée. Pour une authentification réellement robuste des équipements sur le réseau, la norme 802.1X offre un contrôle d’accès basé sur des identifiants et des certificats, complémentaire au Port Security plutôt que substituable à lui. Dans une architecture réseau bien conçue, les deux mécanismes sont d’ailleurs souvent déployés ensemble : le Port Security agit comme une première barrière simple et rapide à mettre en œuvre, tandis que 802.1X apporte une vérification d’identité plus fine pour les environnements exigeant un niveau de sécurité élevé, comme les réseaux d’entreprise sensibles ou les infrastructures critiques.
Bonnes pratiques pour sécuriser les ports inutilisés d’un switch
Au-delà des ports actifs, il est recommandé d’appliquer une politique de sécurité systématique sur l’ensemble des ports non utilisés d’un switch Cisco. Placer ces ports en mode access, leur assigner un VLAN inutilisé, puis les désactiver avec shutdown réduit considérablement la surface d’attaque physique d’un équipement réseau, en complément d’une configuration Port Security appliquée aux ports réellement exploités.
