La seguridad de puertos en switches Cisco te permite blindar la capa 2 del modelo OSI controlando qué dispositivos pueden conectarse físicamente a tu red. Con Port Security limitas las direcciones MAC permitidas por puerto y sumas una capa de defensa que complementa la segmentación por IP y por VLAN.

¿Qué es Port Security y por qué importa en redes Cisco?

Port Security es una función de los switches Cisco que controla cuántas direcciones MAC pueden conectarse a un puerto específico y qué hacer cuando alguien rompe esa regla. Trabaja en la capa 2 del modelo OSI, así que actúa antes de que cualquier tráfico IP llegue a moverse por tu red.

¿Qué es Port Security? Es una característica de los switches que limita las direcciones MAC autorizadas por puerto. Si se conecta un dispositivo no permitido, el puerto reacciona según la política configurada.

La idea es simple: si solo una computadora debería estar en ese puerto, el switch se encarga de que nadie más pueda usarlo, aunque consigan acceso físico al cable.

¿Cómo configurar Port Security en una interfaz fastethernet?

Para activar Port Security necesitas entrar al switch, seleccionar la interfaz y aplicar los comandos en orden. En el ejemplo trabajamos sobre la interfaz fastethernet 0/1 del switch uno.

Los pasos básicos son estos:

1. Ingresa a la interfaz que vas a proteger, en este caso fastethernet 0/1.
2. Configura el puerto en modo access con switchport mode access.
3. Activa la función con switchport port-security.
4. Define el máximo de MACs permitidas con switchport port-security maximum 1.
5. Establece la acción frente a una violación con switchport port-security violation shutdown.
6. Indica la MAC autorizada manualmente o usa el modo sticky.

Después de aplicar la configuración, conecta el equipo al puerto y verifica con show port-security interface fastethernet 0/1 para confirmar que todo quedó habilitado.

¿Qué hace el modo sticky en Port Security?

El modo sticky le dice al switch que tome automáticamente la primera dirección MAC que detecte en el puerto y la registre como autorizada. Es útil cuando no quieres escribir la MAC a mano o cuando administras muchos puertos.

El comando es switchport port-security mac-address sticky. Apenas el equipo se conecta, el switch captura la MAC, en el ejemplo tomó una que terminaba en 5 enano 14, y la deja fija para ese puerto.

¿Cuál es la diferencia entre MAC manual y sticky? La manual la escribes tú con mac-address seguido del valor exacto. La sticky la aprende el switch automáticamente con el primer dispositivo que conecta.

¿Qué opciones de violación existen y cuándo usar shutdown?

Cuando un dispositivo no autorizado intenta conectarse, Port Security puede reaccionar de tres formas distintas. Cada una se ajusta a un nivel de tolerancia distinto.

• Shutdown: apaga el puerto y lo deja en estado down hasta que un administrador lo reactive.
• Restrict: redirecciona o descarta el tráfico no autorizado y registra el evento en los logs.
• Protect: simplemente bloquea el tráfico extra sin generar reportes ni apagar el puerto.

En el ejemplo se eligió shutdown porque es la más estricta: ante cualquier violación, el puerto queda inactivo y obliga a una intervención manual.

¿Qué pasa cuando se viola la regla de Port Security?

Al conectar un segundo equipo en el mismo puerto, el switch detecta una MAC distinta a la autorizada y aplica la acción configurada. Si tienes shutdown, el puerto se bloquea inmediatamente y queda en estado down, incluso si el nuevo dispositivo intenta obtener IP por DHCP.

Para recuperar el puerto debes hacer dos cosas:

• Desconectar el dispositivo no autorizado del cable.
• Entrar a la interfaz y ejecutar no shutdown para volverla a habilitar.

Si vuelves a conectar el equipo original, el puerto retoma su funcionamiento normal con la MAC permitida.

¿Cómo verificar la configuración de Port Security?

Para revisar el estado de un puerto protegido usa show port-security interface fastethernet 0/1. Ese comando te muestra si la función está habilitada, el modo de violación activo, el máximo de MACs permitidas y la dirección que el sistema aprendió por sticky.

Es la forma más rápida de confirmar que la política se aplicó correctamente y que el puerto está listo para detectar intentos de acceso no autorizados.

Buenas prácticas para asegurar puertos en switches

Más allá de Port Security, hay un hábito que reduce muchísimo la superficie de ataque: desactivar todos los puertos que no estés usando. Un puerto activo sin política es una puerta abierta para cualquiera que tenga acceso físico al rack.

Combina Port Security con segmentación por VLAN y por rangos de IP para construir una defensa en capas. Cada técnica cubre un nivel distinto del modelo OSI y juntas hacen mucho más difícil que un dispositivo no autorizado se mueva dentro de tu red.

¿Ya probaste configurar Port Security en tu propio laboratorio? Cuéntame en los comentarios qué modo de violación elegiste y por qué.