ACG 跨三层同步

# ACG1000 选了【IP 录入】，页面却看到 MAC、状态显示 “绑定” 原因解析

>
> 录入方式定义（官方手册原文）

1. **IP 录入**：用户名 = IP 地址，**用户对象本身只绑定 IP，不强制绑定 MAC**；
2. **MAC 录入**：用户名 = MAC 地址，用户对象只绑定 MAC；
3. **默认录入**：用户名 = IP，同时绑定 IP+MAC。

>
> 你现在看到 MAC 地址、状态显示 “绑定”，**不等于你选了默认录入**，是**跨三层 SNMP 同步把 IP‑MAC 映射表学习回来了**，两个是两套不同表：
>
>
> - 用户对象绑定关系（录入方式控制）
> - 跨三层 SNMP 学习得到的 IP‑MAC 映射表（独立表项）H3C

## 现象拆解

1. 你配置同步任务选择：**IP 录入** → 创建的用户，身份关键字是 IP；策略匹配优先看 IP。
2. ACG 通过 SNMP 读取网关交换机 ARP 表，学到这个 IP 对应的 MAC `e0:be:03:23:ed:67`，存入**跨三层 IP‑MAC 映射数据库**。
3. Web 界面展示同步结果列表，会把学到的 MAC 一并显示出来，状态标记为**绑定**。

>
> ⚠️重点：**这个 “绑定” 只是代表 SNMP 成功读到 IP‑MAC 对应关系；不是用户对象配置成 IP+MAC 双重绑定**。

### 怎么验证是不是真的 IP‑MAC 双重绑定

进入【用户管理】，点开这个用户查看用户详情：

- 如果绑定范围**只有 IP 地址**：这才是真正的 IP 录入模式，MAC 只是同步结果页面展示，**策略不会校验 MAC**，IP 变化 / MAC 变化不影响该用户匹配。
- 如果绑定范围里面同时有 IP+MAC，那才是默认录入模式，终端 MAC 变了就匹配不到这个用户。

## 容易踩坑的两个选项

1. **IPMAC 自动绑定**（同步任务页面的复选框）
如果这个勾选上，哪怕你选 IP 录入，设备会把第一次 SNMP 学到的 IP‑MAC 做**强制唯一性绑定**，变成 IP+MAC 双重校验，MAC 变动用户就失效，DHCP 环境不要打开这个选项H3C。

>
> ✅DHCP 动态地址环境：**IPMAC 自动绑定不要勾选**。

2. 自动录入：勾选代表同步学习到的条目自动创建用户到指定用户组；不勾选仅做同步学习，不生成用户。

## 三种录入方式行为对比

表格

| 录入方式 | 用户名 | 用户对象绑定 | 跨三层同步结果页面是否显示 MAC | 策略匹配逻辑 |
| --- | --- | --- | --- | --- |
| IP 录入 | IP 地址 | 仅绑定 IP | ✅会显示 MAC（SNMP 学习所得） | **只看源 IP，MAC 变化不影响** |
| MAC 录入 | MAC 地址 | 仅绑定 MAC | ✅会显示 IP | 只看源 MAC |
| 默认录入 | IP 地址 | IP+MAC 双重绑定 | ✅显示 MAC | IP 和 MAC 必须同时匹配，否则匹配失败 |

>
> 你的场景：同步结果列表看到 MAC、状态 “绑定”，**只是 SNMP 成功拿到 ARP 映射，不等于用户对象做了 IP+MAC 绑定**，以【用户详情】内的绑定范围为准。

## 排错建议

1. 打开该用户详情，确认绑定范围只有 IP；
2. 确认同步任务中，**IPMAC 自动绑定没有勾选**；
3. DHCP 环境，终端 IP 会变化，推荐使用`IP录入`，**不要用默认录入**，否则 IP 变化后用户失效。

### 测试验证

把终端 MAC 修改，IP 不变：

- IP 录入模式：用户依旧正常匹配，策略生效；
- 默认录入模式：MAC 变了，用户匹配失败，策略不生效。