Port Security là tính năng bảo mật cơ bản trên switch, giúp kiểm soát thiết bị được phép kết nối vào từng cổng mạng. Khi không bật Port Security, bất kỳ ai cắm laptop hoặc thiết bị lạ vào cổng switch đều có thể truy cập hạ tầng mạng nội bộ — đây là lỗ hổng phổ biến tại nhiều doanh nghiệp Việt Nam.

Cấu hình Port Security trên switch Ruijie Reyee và RG-S

Port Security trên switch Ruijie là gì?

Port Security là tính năng bảo mật tầng 2 cho phép quản trị viên giới hạn số địa chỉ MAC (Media Access Control) được phép đi qua một cổng switch. Khi một thiết bị có MAC không nằm trong danh sách cho phép cố gắng kết nối, switch sẽ chặn (shutdown), hạn chế (restrict) hoặc chỉ ghi log (protect) tuỳ cấu hình.

Theo tài liệu Ruijie RGOS, tính năng này hoạt động trên cả dòng switch Reyee (NBS series) và dòng RG-S enterprise, sử dụng cùng cú pháp CLI. Port Security giúp ngăn chặn:

• Truy cập trái phép khi người lạ cắm thiết bị vào cổng mạng
• Tấn công MAC flooding làm tràn bảng CAM (Content Addressable Memory)
• Rủi ro bảo mật từ thiết bị không được quản lý trong mạng nội bộ

Các chế độ vi phạm (violation mode) trên switch Ruijie

Switch Ruijie RGOS hỗ trợ ba chế độ xử lý khi phát hiện vi phạm Port Security. Lựa chọn chế độ phụ thuộc vào mức độ nghiêm trọng mong muốn và tính liên tục của vận hành.

Chế độ	Hành động	Phù hợp
shutdown	Tắt cổng vĩnh viễn (port err-disable)	Khu vực nhạy cảm, ít thay đổi thiết bị
restrict	Chặn frame từ MAC lạ, ghi log, tăng counter	Văn phòng có thiết bị thay đổi thường xuyên
protect	Chặn frame từ MAC lạ, không ghi log	Khu vực ít giám sát, muốn tránh tràn log

Trong thực tế triển khai tại Wise Tech, chế độ shutdown thường được dùng cho cổng khu vực bảo mật cao (server, quầy thu ngân), còn restrict phù hợp cho cổng nhân viên văn phòng — vừa kiểm soát được vừa không ảnh hưởng đến công việc nếu có thay đổi thiết bị.

Hướng dẫn cấu hình Port Security trên switch Ruijie qua CLI

Các bước dưới đây áp dụng cho switch Ruijie dòng RG-S và Reyee NBS chạy RGOS. Đảm bảo đã kết nối vào switch qua console hoặc SSH ở chế độ privileged EXEC.

Bước 1: Bật Port Security trên một cổng

Ruijie> enable
Ruijie# configure terminal
Ruijie(config)# interface gigabitEthernet 0/1
Ruijie(config-if)# switchport port-security
Ruijie(config-if)# end
Ruijie# write

Lệnh switchport port-security kích hoạt tính năng trên cổng. Mặc định, mỗi cổng chỉ cho phép tối đa 1 địa chỉ MAC.

Bước 2: Cấu hình số MAC tối đa và chế độ vi phạm

Ruijie(config)# interface gigabitEthernet 0/1
Ruijie(config-if)# switchport port-security maximum 5
Ruijie(config-if)# switchport port-security violation shutdown

Số MAC tối đa nên đặt dựa trên thiết bị thực tế kết nối vào cổng: máy tính + IP phone thường cần 2 MAC, switch nhánh cần 3–5 MAC.

Bước 3: Gán địa chỉ MAC tĩnh (sticky learning)

Ruijie(config)# interface gigabitEthernet 0/1
Ruijie(config-if)# switchport port-security mac-address sticky

Tính năng sticky cho phép switch tự động học MAC từ thiết bị đang kết nối và ghi vào running-config. Khi lưu cấu hình (write), các MAC này tồn tại sau khi khởi động lại. Đây là phương pháp triển khai nhanh nhất cho văn phòng hiện có.

Bước 4: Gán MAC tĩnh thủ công (tuỳ chọn)

Ruijie(config)# interface gigabitEthernet 0/1
Ruijie(config-if)# switchport port-security mac-address 0050.7966.6801

Phương pháp này phù hợp cho các cổng quan trọng như kết nối server hoặc thiết bị mạng, nơi MAC đã được ghi nhận trước.

Bước 5: Kiểm tra cấu hình

Ruijie# show port-security
Ruijie# show port-security interface gigabitEthernet 0/1
Ruijie# show port-security address

Lệnh show port-security hiển thị tổng quan: cổng nào đã bật, số MAC hiện tại, chế độ vi phạm. show port-security address liệt kê danh sách MAC đã học.

Lệnh	Chức năng
switchport port-security	Bật Port Security trên cổng
switchport port-security maximum [số]	Giới hạn số MAC tối đa
switchport port-security violation [shutdown|restrict|protect]	Chọn chế độ vi phạm
switchport port-security mac-address sticky	Học MAC tự động và lưu vào config
show port-security	Kiểm tra trạng thái tổng thể
show port-security interface [cổng]	Kiểm tra chi tiết một cổng

Xử lý cổng bị shutdown do vi phạm Port Security

Khi cổng rơi vào trạng thái err-disable vì vi phạm, switch Ruijie không tự động khôi phục. Cần can thiệp thủ công:

1. Xác định nguyên nhân bằng show port-security interface [cổng]
2. Kiểm tra thiết bị lạ đã được rút ra chưa
3. Vào chế độ cấu hình cổng: shutdown → no shutdown
4. Nếu vi phạm do MAC hợp lệ nhưng vượt quá số lượng cho phép: tăng maximum hoặc thêm MAC vào danh sách cho phép

Ruijie(config)# interface gigabitEthernet 0/1
Ruijie(config-if)# shutdown
Ruijie(config-if)# no shutdown
Ruijie(config-if)# end
Ruijie# write

Lưu ý khi triển khai Port Security cho doanh nghiệp

Port Security không phải giải pháp bảo mật duy nhất. Nên kết hợp với các tính năng khác trên switch Ruijie để bảo vệ nhiều lớp:

• DHCP Snooping: Chống DHCP rogue server — tham khảo hướng dẫn cấu hình DHCP Snooping trên switch Ruijie
• DAI (Dynamic ARP Inspection): Chống ARP spoofing
• 802.1X: Xác thực người dùng qua username/password trước khi cấp quyền truy cập cổng
• ACL (Access Control List): Lọc traffic theo IP, port, protocol

Theo ghi chú kỹ thuật Wise Tech, việc kết hợp Port Security + DHCP Snooping + DAI giúp giảm thiểu hầu hết rủi ro tấn công tầng 2 trong mạng nội bộ văn phòng doanh nghiệp quy mô vừa và nhỏ.

Câu hỏi thường gặp về Port Security trên switch Ruijie

Kết luận

Port Security là tính năng bảo mật tầng 2 cơ bản nhưng hiệu quả, nên được bật trên tất cả cổng access của switch Ruijie trong mạng doanh nghiệp. Chi phí triển khai gần như bằng không — chỉ mất thời gian cấu hình một lần và kiểm tra định kỳ. Nếu cần hỗ trợ thiết kế và cấu hình bảo mật mạng Ruijie cho doanh nghiệp, liên hệ đội ngũ kỹ thuật Wise Tech để được tư vấn.

Cập nhật lần cuối: 04/10/2026 · Biên soạn: Đội ngũ kỹ thuật Wise Tech