目的：隔離同一交換機上屬於相同Vlan的端口之間的互訪。
實現：
1、Cisco29系列交換機可以做基於2層的端口安全，即mac地址與端口進行綁定。
2、Cisco3550以上交換機均可做基於2層和3層的端口安全，即mac地址與端口綁定以及mac地址與ip地址綁定。
3、以cisco3550交換機爲例
做mac地址與端口綁定的可以實現兩種應用：
a、設定一端口只接受第一次連接該端口的計算機mac地址，當該端口第一次獲得某計算機mac地址後，其他計算機接入到此端口所發送的數據包則認爲非法，做丟棄處理。
b、設定一端口只接受某一特定計算機mac地址，其他計算機均無法接入到此端口。
4、破解方法：網上前輩所講的破解方法有很多，主要是通過更改新接入計算機網卡的mac地址來實現，但本人認爲，此方法實際應用中基本沒有什麼作用，原因很簡單，如果不是網管，其他一般人員平時根本不可能去注意合法計算機的mac地址，一般情況也無法進入合法計算機去獲得mac地址，除非其本身就是該局域網的用戶。
5、實現方法：
針對第3條的兩種應用，分別不同的實現方法
a、接受第一次接入該端口計算機的mac地址：
Switch#config terminal
Switch(config)#interface interface-id 進入需要配置的端口
Switch(config-if)#switchport mode access 設置爲交換模式
Switch(config-if)#switchport port-security 打開端口安全模式
Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }
//針對非法接入計算機，端口處理模式 {丟棄數據包，不發警告 | 丟棄數據包，在console發警告 | 關閉端口爲err-disable狀態，
除非管理員手工激活，否則該端口失效。
b、接受某特定計算機mac地址：
Switch#config terminal
Switch(config)#interface interface-id
Switch(config-if)#switchport mode access
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }
//以上步驟與a同
Switch(config-if)#switchport port-security mac-address sticky
Switch(config-if)#switchport port-security aging static //打開靜態映射
Switch(config-if)#switchport port-security mac-address sticky XXXX.XXXX.XXXX
//爲端口輸入特定的允許通過的mac地址
mac地址與ip地址綁定基本原理：
在交換機內建立mac地址和ip地址對應的映射表。端口獲得的ip和mac地址將匹配該表，不符合則丟棄該端口發送的數據包。
實現方法：
Switch#config terminal
Switch(config)#arp 1.1.1.1 0001.0001.1111 arpa
該配置的主要注意事項：需要將網段內所有IP都建立MAC地址映射，沒有使用的IP地址可以與0000.0000.0000建立映射。
否則該綁定對於網段內沒有建立映射的IP地址無效。
注意：保護端口只對同一VLAN內的端口有效，對不同VLAN的端口無效。
因爲一般不同VLAN訪問都做了路由，而相同VLAN內的保護端口是不能訪問的了。