SecPath ACG1000MAC地址绑定
- 0关注
- 0收藏，180浏览
问题描述：
SecPath ACG1000用户IP和MAC地址绑定后无法上网
- 2026-01-16提问
- 举报
-
(0)
最佳答案
看下学习到的mac地址对吗
ACG配置IP+MAC绑定的案例，请参考：
一、拓扑
二、需求
内网网关ACG1000设备，要求内网网段vlan100:172.16.100.0/24的终端只有在ACG上完成IP+MAC绑定后才能上网。内网vlan 200:172.16.200.0/24网段不做限制。
三、配置思路
1、ACG作为网关则可以直接学习到终端的真实mac地址，可以直接在设备上手工增加IP+MAC绑定表项，添加时开启唯一性。
2、ACG默认控制策略为允许，需要在ACG上配置控制策略：①允许源地址是vlan100permit即172.16.100.0/24中允许上网的地址的流量；②禁止源地址是vlan100即172.16.100.0/24的流量；③允许源地址是vlan200即172.16.200.0/24的流量(可不配，因为默认动作为允许)
3、需要新增可以上网的pc时需要：①、在IP+MAC绑定的位置增加IP和MAC的绑定信息，并开启唯一性；②、在允许vlan100上网的地址对象组中添加允许的ip
配置步骤
四、配置步骤
1、配置地址对象组vlan100permit包含vlan100中可以上网的地址，地址对象组vlan100包含整个vlan100的网段。、
2、配置控制策略，第一条仅允许vlan100permit地址组中的地址上网，第二条禁止所有vlan100地址对象组中地址上网。第三条可以新建允许其他地址上网，也可以配置控制策略默认动作为允许。控制策略按照从上往下的顺序匹配。
3、新增IP+mac绑定表项，添加PC的172.16.100.2和对应mac地址，注意要开启唯一性。
五、配置验证
1、进行过IP+MAC绑定，并添加到vlan100permit对象组的PC1:172.16.100.2地址可以上网
2、PC1手动修改ip后无法上网
3、其他PC使用172.16.100.2无法上网
4、新增PC2使用ip地址172.16.100.4可以上网。
(1)需要手动在IP+MAC绑定处添加用户
(2)放行新增ip地址
(3)验证
5、vlan 200可以正常上网
配置关键点
1、ACG作为网关可以直接学习到终端真实mac地址，所以不用配置SNMP同步(跨三层mac学习)
2、配置IP-MAC绑定时要开启唯一性
- 2026-01-16回答
- 评论(0)
- 举报
-
(0)
参考这个案例SecPath F100-C-G3(V7) 进行ip-mac绑定后终端无法上网 - 知了社区
终端直连防火墙上网正常，进行ip-mac绑定后，无法上网。
关键配置：
ip-mac binding enable
ip-mac binding no-match action deny
ip-mac binding ipv4 100.64.34.134 mac-address 7440-4aa0-7852
ip-mac binding ipv4 192.168.156.118 mac-address 011d-bcf8-4e1b
过程分析
安全策略放通区域为any-any，不涉及被安全策略阻断的问题。
查看会话发现无回包：
<H3C>display session table ipv4 source-ip 192.168.156.118 destination-ip 114.114.114.114 verbos
Slot 1:
Initiator:
Source IP/port: 192.168.156.118/1
Destination IP/port: 114.114.114.114/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: ICMP(1)
Inbound interface: Vlan-interface100
Source security zone: Trust
Responder:
Source IP/port: 114.114.114.114/146
Destination IP/port: 100.64.34.134/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: ICMP(1)
Inbound interface: Dialer0
Source security zone: Untrust
State: ICMP_REQUEST
Application: ICMP
Rule ID: 1
Rule name: test
Start time: 2021-11-16 15:50:58 TTL: 30s
Initiator->Responder: 4 packets 240 bytes
Responder->Initiator: 0 packets 0 bytes
Total sessions found: 1
随后通过抓包及debug发现报文在dialer口被丢掉：
*Nov 16 15:49:11:384 2021 H3C IPFW/7/IPFW_INFO:
MBUF was intercepted! Phase Num is 0(pre all), Service ID is 3(ip mac), Bitmap is 1000000000000000, return 1(0:continue, 1:dropped, 2:consumed, 3:enqueued, 4:relay)! Interface is Dialer0,
s= 114.114.114.114, d= 100.64.34.134, protocol= 1, pktid = 64507.
原因分析：配置IP-MAC绑定功能的设备接收到用户报文后，会提取报文头中的源IP地址和源MAC地址，并与IP-MAC绑定表项进行匹配。
来自外网的报文并没有建立IP-MAC的表项关系，所以被丢弃。
解决方法
在内网接口下配置IP-MAC的绑定，但是要注意防火墙的版本是否支持。SecPath F100-C-G3(V7) 进行ip-mac绑定后终端无法上网 - 知了社区
- 2026-01-16回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论