问
新华三交换机S5560X-54C-EI绑定mac地址问题2
7小时前提问
- 0关注
- 0收藏，34浏览
问题描述：
输入ip source guard enable直接报错，就执行下面的，如21口绑定防火墙172.20.100.107，方法如下： interface GigabitEthernet 1/0/21 port link-mode bridge ip source binding ip-address 172.20.100.107 mac-address 0090-0b84-07bd ip verify source ip-address mac-address quit 绑定后，查询是绑定mac成功了。但是，1，2区交换机不通了。所以解除绑定，麻烦帮看下 1、绑定1，2区防火墙方法错在哪里 2、手机在知了社区提问，如何添加图片 3、请提供正确的绑定mac方法
一、你当前配置错误点（绑定后全网不通根源）
1. 致命错误 1：上行互联端口也开启了 IPSG 校验 ip verify source ip-address mac-address
IPSG（ip source binding）只允许在接入终端的下行口配置校验，连接 1 区、2 区交换机的上联 Trunk 口不能开校验。
上联口收到对端交换机发来的跨网段回程报文，源 IP 不在本端口静态绑定表里，交换机直接丢弃所有跨网段流量 → 1、2 区彻底不通。
2. 致命错误 2：缺少 VLAN 绑定（Trunk 环境必漏）
你只写了
ip source binding ip-address x.x.x.x mac-address xxx，没有携带vlan参数。
如果 21 口是 Trunk，多 VLAN 场景下绑定表不生效，校验逻辑错乱；即使是 Access 口，规范写法也要绑定 VLAN。3. 次要错误：全局ip source guard enable报错原因
S5560X-EI 新版 V7 不再支持全局
ip source guard enable，校验功能改为端口下ip verify source开启，全局命令已废弃，不用再输这条。4. 补充隐患：未区分信任口
上联互联交换机、上联防火墙的端口，必须配置为 IPSG 信任口，不加
ip verify source，否则跨区域流量全部拦截。二、S5560X-54C-EI 标准正确 IP+MAC 静态绑定完整配置（21 口接防火墙 172.20.100.107）
步骤 1：接口完整配置（下行终端口 G1/0/21）
bash
运行
system-view
# 进入接防火墙的21口
interface GigabitEthernet 1/0/21
port link-mode bridge
# 假设防火墙所在业务VLAN为Vlan 10，替换为实际业务VLAN
port access vlan 10
# 静态绑定：IP+MAC+VLAN三要素缺一不可
ip source binding vlan 10 ip-address 172.20.100.107 mac-address 0090-0b84-07bd
# 端口开启IPSG校验，只放行匹配绑定表的报文
ip verify source ip-address mac-address
quit
步骤 2：所有上联互联端口（连 1 区、2 区交换机）关键配置
上联口绝对不能配置 ip verify source，只做二层转发，不做 IP 校验：
bash
运行
# 举例：上联1区交换机G1/0/1、上联2区交换机G1/0/2
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/2
port link-mode bridge
port link-type trunk
port trunk permit vlan all
# 重点：不输入 ip verify source 这条命令！
quit
步骤 3：验证绑定表是否正常生成
bash
运行
# 查看静态绑定条目
display ip source binding static
# 查看端口IPSG校验状态
display ip source interface GigabitEthernet 1/0/21
能看到
172.20.100.107 0090-0b84-07bd Vlan10 Static 即为配置正确。三、故障恢复操作（当前已绑定、全网不通）
- 进入 21 口，删除错误配置，重新规范配置
bash
运行
system-view
interface GigabitEthernet 1/0/21
undo ip verify source
undo ip source binding
# 重新带VLAN绑定
ip source binding vlan 10 ip-address 172.20.100.107 mac-address 0090-0b84-07bd
ip verify source ip-address mac-address
quit
- 检查所有上联互联口，删除
ip verify source配置
bash
运行
interface GigabitEthernet 1/0/1
undo ip verify source
interface GigabitEthernet 1/0/2
undo ip verify source
- 测试 1 区、2 区互通，防火墙正常访问全网。
四、手机知了社区发帖添加图片操作教程
手机端步骤：
- 打开知了社区 APP，点击底部【发帖子】/【提问】；
- 编辑框下方找到图片图标（小相册样式）；
- 点击图片按钮，跳转手机相册，选中截图 / 配置图片；
- 等待图片上传完成，点击图片即可插入正文；
- 填写标题、问题描述后发布。
补充：网页端（手机浏览器）
- 发帖编辑器找到「图片」按钮；
- 选择本地图片上传，上传完成后插入内容框；
- 图片大小建议控制在 2M 以内，过大上传失败。
五、补充避坑要点
- IPSG 仅用于接入终端下行口，交换机之间互联 Trunk、上联防火墙出口一律不开启校验；
- Trunk 端口做静态绑定必须携带
vlan xxx参数，否则绑定失效； - 全局
ip source guard enable命令新版交换机已移除，不用执行； - 一个端口可多条 ip source binding，多台静态设备同时绑定；
- 绑定 IP 不能在 DHCP 地址池内，避免 IP 冲突导致断网。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论