端口绑定MAC

安全模式是什么？ 

端口静态绑定 MAC（端口安全）、全局批量绑定 MAC
一、核心结论
不能在system-view全局视图直接绑定端口 + MAC，绑定逻辑依附物理接口 / VLAN 接口，必须进入对应接口配置；
但可以在全局批量预定义 MAC 地址对象，再在接口调用，简化批量配置。
方式 1：端口安全（静态绑定 MAC，最常用，单端口固定允许指定终端）
1. 全局基础开启端口安全功能
plaintext
system-view
# 全局开启端口安全特性（部分机型必须先开）
port-security enable
2. 进入接口绑定指定 MAC（关键配置，接口视图操作）
plaintext
interface GigabitEthernet 1/0/1
port link-mode bridge
# 开启端口安全
port-security
# 静态绑定MAC地址，仅该MAC允许接入本端口
port-security mac-address static 0011-2233-4455
# 端口最多允许1个MAC接入（仅绑定设备）
port-security max-mac-count 1
# 非法MAC接入处理动作：shutdown直接关闭端口，可选disableport/blacklist
port-security violation shutdown
批量多端口复用（全局地址对象简化配置）
plaintext
# 1. 全局创建MAC地址对象（预定义，全局可见）
system-view
mac-address static-object Trust-MAC
mac-address 0011-2233-4455
mac-address aa11-bb22-cc33

# 2. 任意接口直接调用对象，不用重复写MAC
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/8
port link-mode bridge
port-security
port-security mac-address static object Trust-MAC
port-security max-mac-count 2
port-security violation shutdown
方式 2：静态绑定 ARP（三层接口 IP+MAC 绑定，防 ARP 欺骗）
同样无法全局直接绑定，接口下配置：
plaintext
system-view
interface Vlan-interface 10
arp static 192.168.10.10 0011-2233-4455
三、关键说明（回答你 “能不能全局绑定”）
无全局视图直接绑定端口 + MAC 的命令
端口安全、静态 ARP 均属于接口业务逻辑，必须进入接口配置；
折中全局简化方案：
全局定义 MAC 地址对象，所有端口直接引用该对象，不用每个接口重复输入 MAC；
区分两种绑定用途
port-security mac-address static：二层交换机端口锁死终端 MAC，陌生设备插端口直接阻断；
arp static：三层网关绑定 IP-MAC，防止内网 ARP 欺骗。
四、查看验证命令
plaintext
# 查看所有端口安全静态绑定MAC
display port-security mac-address static
# 查看接口端口安全配置
display port-security interface GigabitEthernet 1/0/1

H3C交换机支持在全局模式下进行MAC地址绑定，但“全局绑定”的含义需要明确：它是指为所有端口统一设置一个允许通信的“白名单”，而不是指在一个命令里完成所有端口的绑定。

要实现这个效果，主要有以下几种方法：

方法一：全局IP Source Guard绑定（推荐）

这是实现全局MAC地址绑定的主流方法，适用于支持IP Source Guard功能的交换机（如S5120、S5560等大多数中端型号）。

原理：在系统视图下创建一个全局的静态绑定表，然后在每个需要开启检查的端口下，启用IP源地址检查功能。

配置步骤：

1. 进入系统视图：

   text

   <H3C> system-view

2. 配置全局静态绑定表项：

   text

   [H3C] ip source binding ip-address 192.168.1.10 mac-address 00e0-fc12-3456

   这个命令将所有合法的IP-MAC对应关系加入到全局白名单中。你需要为所有需要上网的终端重复此命令。

3. 在接口下启用检查（关键步骤）：
   全局绑定本身只是一个名单，必须在每个接入端口下开启检查功能才能生效。

   text

   [H3C] interface gigabitethernet 1/0/1 [H3C-GigabitEthernet1/0/1] ip verify source ip-address mac-address [H3C-GigabitEthernet1/0/1] quit

   配置后，该端口只允许源IP和MAC都与全局绑定表匹配的报文通过。

4. 保存配置：

   text

   [H3C] save force

方法二：全局AM User-bind绑定（部分型号支持）

这是一种较早期的绑定方式，在一些型号（如S3026E、S3526E等）上使用。

原理：在系统视图下使用 am user-bind 命令，不指定端口，即为全局绑定。

配置命令：

说明：此配置完成后，与绑定的IP或MAC地址不同的设备，在任何端口都无法上网。

注意：此命令在不同型号上可能有所差异，部分新设备可能不支持或命令格式不同。在配置前，建议先输入 am user-bind ? 查看设备是否支持及具体参数。

方法三：全局ARP静态绑定（效果有限）

在系统视图下使用 arp static 命令绑定IP和MAC。

配置命令：

局限性：此方法主要为了防止ARP欺骗，无法阻止一个未绑定的设备修改IP后接入网络。因此，它不能作为严格的端口准入控制手段。

想端口绑定就必须在端口下做啊，全局做的是所有接口的啊= =