IP地址和MAC地址的静态绑定。

1. 全局ip source binding表项作用理解错误 全局静态绑定只做防 IP 仿冒校验：防止在其他端口仿冒已经绑定的 IP‑MAC，不能实现 “没有表项就拒绝”。

全局表项逻辑：匹配上就允许；完全不匹配的报文直接放过，不会丢弃！这就是未绑定终端还能上网的最主要原因H3C。

✅想要：接口上只有存在绑定表项才放行，无表项就丢包，必须把静态绑定配置在【接口视图】，不能用全局视图。全局表项做不到 “黑名单式拦截”。

2. IPSG 是基于端口生效，不是基于 VLAN 全局生效 ip verify source是在二层物理接口开启过滤；不能直接在 VLAN 下全局开启 IPSG 过滤。VLAN 下不能配置 ip verify source。所有接入该 VLAN 的用户端口，每一个端口都要开启 IPSG，并且在对应端口配置该端口接入终端的静态绑定表项。

不能期望配置一次，整个 VLAN 全部自动拦截非法终端，每个接入端口单独配置。

3. uplink 上联口（接网关 / 核心）千万不要开启ip verify source 上联口不能配置 IPSG，否则网关、跨网段报文全部被丢弃。

正确完整配置示例（静态 IP 环境，无 DHCP‑Snooping）

假设：接入端口 G1/0/1‑G1/0‑24，业务 VLAN 10；G1/0/24 为上联口，不开启 IPSG。主机 192.168.10.10，MAC aaaa‑bbbb‑cccc接在 G1/0/1。

说明：接口视图下配置ip source binding，该端口收到报文，必须匹配本端口的静态绑定表项，否则直接丢弃 IP 报文，达到 “未绑定不能上网” 的效果H3C。

排查验证命令

输出中 Type 字段：

• Static(global)：全局静态绑定，不能实现无表项丢弃
• Static(interface‑GigabitEthernet1/0/1)：接口静态绑定，才会执行 “不匹配直接丢包”。

常见误区澄清

1. ❌全局ip source binding ip‑address x.x.x.x mac‑address xxxx‑xxxx‑xxxx不能实现非法终端拦截。

全局：匹配→允许；不匹配→直接放行。只防御仿冒已存在的 IP‑MAC，不会阻断未知终端。

2. ❌只在一个端口配置 IPSG，同 VLAN 其他接入端口不配置，其他端口非法设备不受限制。IPSG 按物理端口生效，不是 VLAN 生效。
3. ❌在上联口开启ip verify source，会导致网关、跨 VLAN 转发全部异常断网。
4. ❌DHCP‑Snooping 不需要开启，纯静态 IP 场景不需要 dhcp snooping；IPSG 支持纯静态表项工作，不需要 DHCP 环境。

规模场景缺点与替代方案

如果 VLAN 下接入端口非常多，每个端口手工敲 ip source binding 工作量巨大： 方案 A：端口 IPSG + 接口静态绑定（适合终端数量少） 方案 B：ARP‑Detection + ACL 组合，在 VLANIF 下配置 ACL 过滤源 IP‑MAC，适合大量静态 IP 终端场景。

补充提醒：IPSG 只过滤IP 报文；ARP 报文不会被 IPSG 丢弃。如果需要同时拦截非法 ARP，需要额外开启arp‑detection，配合静态 ARP 表项使用。

故障现象核对

做完正确配置后测试：

1. 合法终端 IP+MAC 与接口绑定表项一致：正常上网。
2. 该端口接一台没有配置绑定表项的电脑（静态 IP）：IP 报文直接被丢弃，无法访问网络，达到需求。