S7503E-M交换机DHCP和IP Source Guard下未绑定的设备可以获取到地址

VLAN5绑定不生效，其他生效是吧

您好，是否是mac地址写错

软件版本是S7500E-CMW710-BOOT-R7643P05

一、IP Source Guard（IPSG）配置未在 VLAN5 生效

1. 检查 VLAN5 是否启用 IPSG

   确认交换机针对 VLAN5 的接口是否配置了 IPSG，且绑定方式正确（基于 DHCP Snooping 绑定表或静态绑定表）。

   示例命令（不同厂商语法可能不同，以 Cisco 为例）：
   show ip source binding vlan 5 # 查看VLAN5是否有绑定表

   show running-config interface <接口名> # 检查接入VLAN5的接口是否启用ip verify source
   • 若接口未配置ip verify source（或类似命令），IPSG 未生效，未绑定设备可直接通信。
   • 若 VLAN5 的 DHCP Snooping 未启用，IPSG 可能无法动态获取绑定表（依赖 DHCP Snooping 生成的绑定表时）。
2. IPSG 绑定表是否包含 VLAN5

   若 IPSG 依赖静态绑定表，需确认 VLAN5 的静态绑定是否正确配置（未遗漏或错误）；若依赖动态绑定（DHCP Snooping），需确认 VLAN5 的 DHCP Snooping 是否正常生成绑定表。

二、VLAN5 的 DHCP 配置存在漏洞

1. DHCP 地址池是否未严格绑定 VLAN5

   检查 VLAN5 的 DHCP 地址池是否配置了ip dhcp pool <池名>且关联 VLAN5，同时是否启用了host <IP> <MAC>（静态绑定）或deny unknown-clients（拒绝未绑定设备）。
   • 若未配置deny unknown-clients，DHCP 服务器可能向未绑定设备分配地址（即使有部分绑定，未绑定设备会用剩余地址）。
   • 若 VLAN5 的 DHCP 地址池与其他 VLAN 混淆（如网关、VLAN 划分错误），可能导致未绑定设备跨 VLAN 获取地址。
2. DHCP Snooping 在 VLAN5 未启用或配置错误

   DHCP Snooping 可防止未授权 DHCP 服务器，并生成 IP+MAC 绑定表供 IPSG 使用。若 VLAN5 未启用 DHCP Snooping：
   show ip dhcp snooping vlan 5 # 检查VLAN5是否启用DHCP Snooping
   • 未启用时，可能存在非法 DHCP 服务器为 VLAN5 的未绑定设备分配地址，且 IPSG 无法获取动态绑定表。
   • 若 VLAN5 的接口未正确配置为 “信任端口”（连接合法 DHCP 服务器的接口），可能导致合法 DHCP 响应被丢弃，但未绑定设备通过非法服务器获取地址（反而能上网）。

三、VLAN5 的接口配置异常

1. 接口未加入 VLAN5，或误加入其他 VLAN

   检查设备实际接入的接口是否正确划分到 VLAN5：
   show vlan brief | include <接口名> # 确认接口所属VLAN
   若接口实际属于其他 VLAN（但该 VLAN 未严格限制），可能被误判为 VLAN5 的问题。
2. 接口配置了 “信任模式” 或豁免规则

   部分接口可能被配置为 “信任 IPSG” 或 “允许所有流量”（如ip verify source port-security未启用），导致未绑定设备绕过检查。

   检查接口是否有特殊配置（如no ip verify source、trust等），与其他正常 VLAN 的接口配置对比。

四、网络中存在二层环路或设备旁路

1. VLAN5 存在环路，导致绑定规则失效

   环路可能导致交换机 MAC 地址表震荡，IPSG 绑定表无法稳定生效，未绑定设备趁机通信。可通过show mac address-table vlan 5检查 MAC 地址是否频繁变动。
2. 未绑定设备通过其他路径接入网络

   例如：设备未接入该交换机，而是通过其他未配置 IPSG/DHCP 绑定的交换机接入 VLAN5，导致绕过限制。需排查 VLAN5 的接入拓扑，确认所有接入点均受该交换机管控。

五、配置未生效或设备故障

1. 配置未保存或未下发到接口

   部分情况下，配置修改后未write保存，或交换机存在配置同步问题（如堆叠设备），导致 VLAN5 的规则未实际生效。
2. 交换机端口或芯片故障

   极个别情况，接口硬件故障可能导致安全规则失效，可尝试将 VLAN5 设备换至其他接口测试，排除接口故障。

排查步骤建议

1. 对比 VLAN5 与正常 VLAN（如 VLAN10）的 IPSG、DHCP Snooping、接口配置，找出差异。
2. 检查 VLAN5 的 DHCP 绑定表和 IPSG 绑定表是否为空或不完整。
3. 在 VLAN5 接入一个未绑定的测试设备，抓包观察其 DHCP 获取过程（是否从合法服务器获取，IP+MAC 是否在绑定表中）。
4. 确认 VLAN5 的所有接入接口均启用 IPSG 和 DHCP Snooping 限制。