参考下：
组网及说明
防火墙版本：V7 R9333P18及之前版本
型号：V7全系列防火墙
组网：防火墙当出口，控制内网电脑上网
需求：在防火墙上配置ip+mac绑定，使得没在表项里边的终端禁止上网。
问题描述
设备配置：
ip-mac binding enable
ip-mac binding xxxxx mac-address xxxxx
ip-mac binding no-match action deny
现场配置完后导致断网，即使ip跟mac在列表中的电脑也上不了网。
过程分析
配置ip+mac绑定后会检查上终端的ip+mac是否在列表中，如果不在则匹配默认动作拒绝。产生断网的原因是终端访问外网的数据可以匹配，电脑的源ip+mac符合表项绑定转发出去，但是外网回复的流量，源ip+mac不符合绑定表项所以丢弃。
解决方法
此问题解决方法有两种：
第一种：
后续会对实现机制进行优化，使外网回复的流量，源目ip+mac只要任意一种匹配表项即可放通。
第二种：
此功能并不是为了实现不在表项里边电脑上不了网的功能， 而是为了防攻击或防ip欺骗/mac欺骗，将默认动作设置为允许，一旦有欺骗的arp上来后，跟表项去做对比，一旦有ip或mac跟绑定的表项不匹配则拒绝，没有在表项中的则放通。 要实现不在表项里边电脑上不了网的功能，可以用 IP Source Guard的功能来实现。
全局和接口下没有查到有 IP Source Guard命令
IP-MAC绑定校验的是报文源IP和源MAC的对应关系：内网流量经过防火墙NAT转换后，源IP变为公网地址，从外网口发出的报文源MAC是防火墙外网接口自身的MAC，该「公网IP+防火墙出接口MAC」的条目你没有也无需配置到静态绑定表中，如果你全局/外网口也开启了IP-MAC校验，默认动作为丢弃时就会直接把NAT后的外网出向报文丢弃，导致断网。
正确配置步骤
1. 先关闭错误开启的全局/外网口校验：
[F1000] undo ip check source ip-mac // 关闭全局校验
[F1000] interface GigabitEthernet 1/0/X // 进入所有外网口视图
[F1000-GigabitEthernet1/0/X] undo ip check source ip-mac
2. 仅在内网下联侧生效校验：
[F1000] arp static 内网终端IP 终端MAC // 逐个配置内网终端静态绑定
[F1000] interface GigabitEthernet 1/0/Y // 进入内网下联口
[F1000-GigabitEthernet1/0/Y] ip check source ip-mac // 仅在内网口开启校验
3. 校验：执行display ip check source interface确认仅内网接口开启校验，此时IP-MAC绑定默认动作设为丢弃也不会影响外网访问。
在防火墙接口下视图无ip check这个命令
在防火墙接口下视图无ip check这个命令
你遇到的问题是：将“IP-MAC地址绑定”的默认动作改为“丢弃”后，即使绑定了条目，内网依然无法上网。这通常不是因为功能故障，而是对“绑定”的生效逻辑和双向流量检查的理解有关。
原理排查：为什么“绑定了”却没生效？
1. IP-MAC绑定的本质是“白名单”
在H3C防火墙上，IP-MAC binding 功能本身是一个纯粹的过滤/检测表。当你启用它并把默认动作设为 deny 后，只有匹配表项的双向二层+三层流量才能通过，其余所有报文都将被丢弃。
关键点在于：它严格检查源和目的地的匹配关系。
2. 最容易遗漏的隐藏杀手：网关MAC地址未绑定
这是导致现象的最典型原因。你的内网PC发包流程是这样的：
PC发往公网：源IP/源MAC是PC自己的，目的MAC是网关的MAC（也就是防火墙内网接口MAC）。
问题所在：你的绑定表里只有PC的IP-MAC和公网出口IP-MAC。但是，当PC发出的数据包到达防火墙内网口时，防火墙发现该报文携带的网关MAC地址并不在你配置的绑定表内。即使数据包来自已绑定的PC，系统依然会判定“未匹配绑定表项”，从而触发
deny动作将其丢弃。
3. 流量“双向”检查
流量通常是双向的。除了PC访问外网的请求，必须确保返回的流量也能命中绑定表。如果之前仅绑定了单向，也会导致不通。
解决方案与配置规范
由于你已在接口下开启了该功能，这里侧重排查策略与命令。请按以下思路排查和修正：
第一步：完善绑定表项（核心）
绑定表应该包含所有需要通过二层口进出的IP-MAC组合，必须包含防火墙的接口MAC。你的绑定表中至少要增加以下三条ARP表项：
能上网的PC（如
192.168.1.10）的IP + MAC。防火墙内网VLAN接口（三层网关IP，如
192.168.1.1）的IP + MAC。（可选但建议）下一跳交换机的管理IP与MAC。
参考命令（补充绑定）：
IP-MAC绑定只是准入检查，流量最终能否通过仍需安全策略放行：
使用命令行确认条目生效并查看是否有增量达标：
特别提示
动态与静态的区别：IP-MAC 绑定功能本质上就是静态ARP表项。配置后会覆盖普通的动态ARP。建议注意防火墙与终端的
arp timeout一致性。DHCP环境：请在DHCP地址池中配置静态绑定，将IP固定给这台PC，并保持此IP-MAC绑定一致。
总的来说，当IP-MAC绑定默认驱动作为丢弃时，它是一个严格的双向“白名单”。除了内网设备，务必将交换机上联口、网关接口的IP-MAC也一并绑定，然后观察统计计数效果。安全策略的放行配置要确保与你的网络区域规划一致。
H3C F1000-AK135 IP-MAC 绑定 缺省丢弃就断网 根因 + 解决
核心一句话结论
一、先讲原理（你现场 exactly 中招的点）
- IP-MAC 绑定是基于接口 / 域内二层校验只校验 报文入接口的 IP+MAC 是否在绑定表里。
- 你把全局缺省动作改成 deny 丢弃：
- 内网主机 IP-MAC 虽然做了绑定，内网发起流量能匹配绑定
- 但是：外网回程流量、外网接口进来的报文、网关 ARP、路由回程报文 不在你的 IP-MAC 绑定表里
- 缺省丢弃直接把回程包全扔了 → 内网看似绑定正确，就是上不了网
- 缺省改放行就正常：不在绑定表的外网回程、网关 ARP、路由回程都被默认放过，业务通。
二、你大概率犯的 3 个配置遗漏
- 只绑定了内网终端 IP-MAC，没豁免外网 / 上行接口外网口、上联路由器地址 不需要也不能做 IP-MAC 绑定，缺省丢弃直接拦截。
- IP-MAC 绑定没区分「内网信任域、外网非信任域」全局全局一刀切丢弃，所有域所有接口都强制校验。
- 没有放行 ARP、网关自身地址、防火墙虚接口地址ARP 报文不在 IP-MAC 绑定表，缺省丢弃直接断基础连通性。
三、正确配置思路（不用全网绑定、不影响上网）
方案 1：只在内网域 / 内网接口启用 IP-MAC 绑定，外网不启用（推荐）
- 外网接口、外网安全域 关闭 IP-MAC 校验
- 仅 内网接口 / 内网安全域 开启 IP-MAC 绑定
- 全局缺省动作保持 放行
- 在内网侧配置：不在绑定表的终端直接丢弃👉 效果：
- 内网非法 IP-MAC 直接隔离
- 外网回程、网关、ARP 正常放行，上网不受影响
方案 2：全局缺省丢弃，加豁免放行
- 网关路由器 IP-MAC
- 防火墙自身接口 IP
- ARP 报文豁免
- 外网所有上行流量接口豁免
四、快速排查验证命令
# 查看IP-MAC绑定表
display ip-mac binding
# 查看被IP-MAC丢弃的统计
display packet-filter statistics
# 看会话表，是否有出方向会话、回程是否被丢弃
display session table
五、给你最简正确配置逻辑（可照着配）
- 不要全局开 IP-MAC + 全局丢弃
- 进入内网物理接口 / 内网安全域：仅在内网开启 IP-MAC 严格校验
- 内网配置：未绑定 IP-MAC 的终端丢弃
- 外网接口、DMZ、上行接口 全部不启用 IP-MAC 绑定校验
- 全局缺省动作保持放行
谢谢。找到原因了，不能在全局启用。必须接口下启用，在接口下ip verify source ip-address mac-address单独启用，还要通过ip source binding单独建基于源地址和mac地址的匹配表
谢谢。找到原因了，不能在全局启用。必须接口下启用，在接口下ip verify source ip-address mac-address单独启用，还要通过ip source binding单独建基于源地址和mac地址的匹配表
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
全局和接口下没有查到有 IP Source Guard命令