H3c F1000-AI-25防火墙如何设置IP-MAC绑定功能

03-IP Source Guard配置-新华三集团-H3C

一、IP-MAC 绑定基础配置步骤
1. 创建 IP-MAC 绑定表项
您可以通过多种方式创建绑定表项：
# 进入系统视图
system-view

# 方式1：手动添加静态绑定（推荐）
user-bind static ip-address 192.168.1.100 mac-address 0001-0001-0001

# 方式2：基于接口的绑定（更严格）
user-bind static ip-address 192.168.1.100 mac-address 0001-0001-0001 interface GigabitEthernet 1/0/1

# 方式3：通过 DHCP Snooping 动态学习（需先启用DHCP Snooping）
dhcp snooping enable
interface GigabitEthernet 1/0/1
dhcp snooping binding record
2. 启用 ARP 检测与绑定检查
这是最关键的一步，必须在接口上启用：
# 进入用户侧接口（连接内网的接口）
interface GigabitEthernet 1/0/1
arp detection enable # 启用ARP检测
arp anti-attack check user-bind enable # 启用用户绑定检查
quit
3. 配置绑定检查规则（可选但重要）
# 创建ACL定义需要绑定的IP范围
acl basic 2000
rule permit source 192.168.1.0 0.0.0.255
quit

# 在VLAN或接口应用绑定检查（选择一种方式）
# 方式A：在VLAN上应用（如果使用VLAN）
vlan 10
arp detection enable
arp restricted-forwarding
quit

# 方式B：在接口上直接应用
arp filter binding 2000 # 只对ACL 2000匹配的IP进行绑定检查
4. 启用IP-MAC绑定功能全局
# 全局启用IP-MAC绑定
user-bind enable
二、导致无法上网的常见原因及解决方法
原因1：绑定信息不准确
问题：绑定的IP、MAC与实际设备不匹配，或MAC地址格式错误。
检查：
# 查看当前ARP表，确认实际MAC
display arp all | include 192.168.1.100

# 查看已配置的绑定表项
display user-bind all
解决：重新绑定正确的MAC地址（注意MAC格式：xxxx-xxxx-xxxx或 xx:xx:xx:xx:xx:xx）。
原因2：ARP检测模式过于严格
问题：默认ARP检测会丢弃所有未绑定的ARP报文。
解决：配置ARP检测的信任接口或调整模式：
# 将上联接口（连接路由器/外网）设为信任
interface GigabitEthernet 1/0/24
arp detection trust
quit

# 或者使用宽松模式（仅记录不丢弃）
interface GigabitEthernet 1/0/1
arp detection enable
arp detection log-only # 只记录日志，不丢弃报文
quit
原因3：未配置默认网关或DNS的绑定
问题：设备需要访问网关和DNS服务器，这些也需要绑定或允许。
解决：
# 绑定网关的IP-MAC
user-bind static ip-address 192.168.1.1 mac-address xxxx-xxxx-xxxx

# 绑定DNS服务器的IP-MAC（如果有本地DNS）
user-bind static ip-address 192.168.1.253 mac-address xxxx-xxxx-xxxx
原因4：安全策略冲突
问题：防火墙安全策略阻止了绑定用户的流量。
解决：
# 检查安全策略
display security-policy rule

# 确保有允许内网访问外网的策略
security-policy
rule name permit_lan_to_wan
source-zone trust
destination-zone untrust
source-ip 192.168.1.0 mask 255.255.255.0
action permit
原因5：未配置ARP代理
当ARP检测启用时，设备无法直接获取网关MAC，需要ARP代理：
interface Vlanif 10 # 或对应的三层接口
ip address 192.168.1.1 255.255.255.0
arp-proxy enable # 启用ARP代理
quit
三、推荐的完整配置示例
以下是一个典型的内网接口配置：
# 全局配置
system-view
user-bind enable

# 创建绑定表项
user-bind static ip-address 192.168.1.100 mac-address 0001-0001-0001
user-bind static ip-address 192.168.1.101 mac-address 0002-0002-0002

# 配置网关绑定（假设网关IP是192.168.1.1）
user-bind static ip-address 192.168.1.1 mac-address 000f-e200-0101

# 接口配置
interface GigabitEthernet 1/0/1
description To-PC-100
port link-mode bridge
arp detection enable
arp anti-attack check user-bind enable
quit

# 上联接口设为信任（不进行ARP检测）
interface GigabitEthernet 1/0/24
description To-Uplink-Router
arp detection trust
quit

# 三层接口配置（如果有）
interface Vlanif 10
ip address 192.168.1.1 255.255.255.0
arp-proxy enable
quit

# 安全策略允许绑定用户上网
security-policy
rule name permit_bound_users
source-zone trust
destination-zone untrust
source-ip 192.168.1.100 32
source-ip 192.168.1.101 32
action permit
quit
四、故障排查命令
# 1. 查看绑定表项状态
display user-bind all

# 2. 查看ARP检测统计信息
display arp detection statistics interface GigabitEthernet 1/0/1

# 3. 查看ARP报文丢弃原因
display arp anti-attack statistics

# 4. 调试ARP报文（临时启用）
terminal monitor
terminal debugging
debugging arp packet interface GigabitEthernet 1/0/1
# 查看日志后关闭调试
undo debugging all

# 5. 检查设备实际ARP表
display arp all

# 6. 查看接口ARP检测配置
display current-configuration interface GigabitEthernet 1/0/1
五、最佳实践建议
分阶段实施：
第一阶段：只启用 arp detection log-only，观察日志确认绑定信息正确。
第二阶段：启用绑定检查，但先不要设置丢弃动作。
第三阶段：确认无误后，启用严格的绑定检查。
保留逃生通道：
保留一个管理接口不启用绑定，以防配置错误导致全部断网。
或者配置一个例外IP段，允许管理访问。
定期更新绑定表：
对于频繁更换的设备，可以结合DHCP Snooping自动学习。
版本兼容性：
确认您的版本 8860P25 支持上述命令，部分老版本命令可能略有不同。
如果按照以上步骤配置后仍然无法上网，请收集以下信息进一步排查：
在故障电脑上执行 arp -a命令的输出
防火墙接口的详细配置 display current-configuration interface [interface]
防火墙关于ARP丢弃的日志 display logbuffer | include arp
通过上述步骤，您应该能够正确配置IP-MAC绑定并解决无法上网的问题。