交换机配置DHCP Snooping+IPSG

路由器可以配置静态ARP

R7208：防止其他 MAC 私自静态配置 172.16.0.9（IP‑MAC 绑定防护）

需求：合法 172.16.0.9 ↔ aa‑bb‑cc‑11‑22‑33；别的 MAC 手动填 172.16.0.9，直接拒绝上网。 ⚠️注意：UR7208 小贝网关没有交换机的 IP‑Source‑Guard / 端口安全，依靠【ARP 静态绑定 + 访问控制开关】实现该效果。 区分两个概念：

1. DHCP 静态地址分配：只是 DHCP 服务器给该 MAC 下发固定 IP；不能拦截别的主机手动静态写这个 IP。
2. ARP 静态绑定 + 开启 “仅允许 ARP 静态绑定用户访问外网”：才会校验内网报文源 IP + 源 MAC，非法组合直接丢弃，实现你的需求H3C。

Web 完整配置步骤

步骤 1：DHCP 静态绑定（保证合法设备拿到 172.16.0.9）

菜单：网络设置 → LAN 配置 → 静态 DHCP 新增绑定：

• MAC：aa‑bb‑cc‑11‑22‑33
• IP：172.16.0.9

作用：该设备 DHCP 上线时自动拿到 172.16.0.9；此条不能阻止别的设备手工配置该 IPH3C。

步骤 2：添加 ARP 静态绑定（关键！IP‑MAC 强绑定）

菜单：网络安全 → ARP 防护 → 静态 ARP 管理 新增静态 ARP 条目：

• IP 地址：172.16.0.9
• MAC 地址：aa‑bb‑cc‑11‑22‑33

这里是网关的 ARP 表固化；还需要开启报文校验开关，否则仅防 ARP 欺骗，不拦截非法 IP‑MAC 报文。

步骤 3：开启强校验开关（两种模式，二选一，重点坑）

⚠️开关位置：网络安全 → ARP 防护 → ARP 功能设置H3C

1. 方案 A（严格模式，推荐，满足你的需求）：【仅允许 ARP 静态绑定的用户访问外网】 ✅效果：内网所有进出网关的 IP 报文，强制校验源 IP + 源 MAC，必须完全匹配静态 ARP 表，否则直接丢弃，无法访问外网。

代价：内网所有终端都必须做静态 ARP 绑定；没有录入静态 ARP 的正常 DHCP 终端也上不了网。 如果内网终端数量多，全部手工录入工作量很大。

2. 方案 B（折中模式，只防 ARP 欺骗，不能拦截静态 IP 篡改）：不勾选上面的强访问开关，只开启 ARP 报文合法性检查

仅防止 ARP 欺骗攻击；别的 MAC 手动设置 172.16.0.9 仍然可以内网二层互通，只是不能欺骗网关 ARP，但是可以内网互访，不满足你 “拒绝接入网络” 的完整要求。

现实场景权衡（重点）

1. 内网终端数量少（十几台以内）：选方案 A，把所有业务终端全部录入静态 ARP 绑定；非法 MAC 配置 172.16.0.9 直接无法通过网关访问外网。

缺点：新增终端必须添加静态 ARP 条目，否则不能上网。

2. 内网终端数量多，不想全部做静态 ARP 绑定：

UR7208 本身没有只针对某单个 IP 做 IP‑MAC 校验的细粒度功能，全局开关要么全部校验，要么全部不校验。 ✅优化组网建议：把核心接入换成 H3C 交换机，在接入交换机配置 IP Source‑Guard（IP 源防护），交换机层面就拦截非法 IP‑MAC 组合，UR7208 只做出口网关。

额外配套配置

1. DHCP 地址池把 172.16.0.9 设置为排除地址，防止 DHCP 自动分配出去：网络设置‑LAN配置‑DHCP地址池‑排除地址：172.16.0.9。
2. 开启 ARP 防护的 ARP 报文合法性检查，防止内网 ARP 欺骗报文。

现象验证

1. 合法设备 MAC：aa‑bb‑cc‑11‑22‑33，IP=172.16.0.9：正常上网。
2. 另外一台设备，MAC 随便，手动静态设置 IP=172.16.0.9：无法访问外网（网关直接丢弃报文），二层内网之间仍然可以互通（校验在网关设备，网关管不了内网二层交换流量）。

补充说明：UR7208 的 ARP 静态绑定校验是在网关三层转发点生效，只能管控经过网关的流量，不能阻止内网二层终端之间互相访问。如果希望二层也完全阻断，该功能需要在接入交换机上实现。

快速故障排查页面

• 查看静态 ARP 表：网络安全‑ARP防护‑静态ARP管理
• 查看 ARP 防护统计：网络安全‑ARP防护‑统计信息，可以看到被丢弃的非法报文计数。