Disculpame si no soy lo mas claro posible o lo no estoy en lo correcto al 100%.

evidentemente  la pregunta da a entender que en donde colocas el comando en la capa de acceso - evidentemente tu respuesta es correcta, a hora si fuese un host tendria una mac solamente y no habria por que darte explicacion ya que es logico . maximin 1 - 1 mac - 1 host .

 El Hub no tiene una Mac como tal en general todo lo que conectes a a ella es parte del Hub sin hacer individualismo como un SW por eso es que el Hub solo puede salir un paquete a la vez y no varios por que de lo contrario hay un bucle.

Ami manera de ver si conectas un Hub a ese puerto que le pones el port security se le van aañadir varias mac pero al colocar maximum 1 se registrara una mac pero que pasa cuando otro host quiera salir por el Hub ? pues envia una trama al Sw ,  el Sw detecta otra mac y el enlace del hub al Sw se va a caer o independient del tipo de violation QUE HAYAS COLOCADO. 

Yo lo veo de ese punto de vista..


Saludos tambien estoy en CCNa