交换机IP+MAC绑定、防止未绑定的设备加入其网络

一、先明确核心原理
IPSG 生效两个硬性前提缺一不可：
端口开启 ip check source ip-address mac-address（IP+MAC 双校验）
端口存在静态绑定表项 / DHCP Snooping 动态绑定表
无任何绑定条目时，端口所有报文直接丢弃；模拟器更容易因为 DHCP 模拟缺陷导致表生成失败。
二、模拟器不生效 4 大类最常见原因（按排查顺序）
1. DHCP Snooping 配置缺失 / 模拟器 DHCP 模拟缺陷（90% 场景）
真机正常、模拟器失效典型现象：
PC 获取不到 IP、display dhcp snooping binding 无任何动态绑定，IPSG 无匹配表直接拦截。
模拟器专属坑：
HCL 内置 PC DHCP 报文交互不完整，极易无法生成 snooping 绑定表；
完整必配 DHCP Snooping：
plaintext
system-view
dhcp snooping enable
dhcp snooping vlan 10
# 上行连接DHCP服务器/路由器端口设信任（模拟器必配）
interface GigabitEthernet 1/0/24
dhcp snooping trust
# 接入用户端口非信任
interface GigabitEthernet 1/0/1
dhcp snooping untust
ip check source ip-address mac-address

上行口没配trust：DHCP 报文直接丢弃，PC 拿不到 IP，无动态绑定，IPSG 完全失效。
模拟器 PC 静态 IP 方案绕过 DHCP 缺陷：直接配置静态 IP+MAC 绑定，不用依赖 DHCP。
2. 只开 IPSG、未配置静态绑定（静态 PC 必踩坑）
PC 手动固定 IP，不会产生 DHCP Snooping 动态表，必须手动添加静态绑定：
plaintext
ip source binding 0000-1111-2222 vlan 10 192.168.1.10 interface GigabitEthernet 1/0/1

不添加这条，端口所有流量全丢，模拟器和真机规则一致。
3. 模拟器底层转发 / TCAM 模拟简化，过滤逻辑不完整
低版本 HCL 镜像对ip check source ip-address mac-address双校验模拟不完善，仅单 IP 校验生效；
部分老镜像模拟器仅支持 IP 校验，不支持 IP+MAC 同时校验，表现为改 MAC 照样通，无法拦截仿 MAC 终端；
解决：下载官网最新 HCL 镜像包更新交换机固件。
4. 接口模式、VLAN、冲突功能干扰
端口是 Trunk 且未放行业务 VLAN；
端口同时开端口安全 port-security、802.1X，与 IPSG 表冲突；
全局关闭 DHCP Snooping、VLAN 未加入 snooping 白名单；
模拟器 PC 网卡 MAC 随机变化，和绑定表 MAC 不匹配。
三、模拟器稳定可用方案（推荐，避开 DHCP 模拟 bug）
方案 A：静态 IP + 静态绑定（百分百生效，无依赖）
PC 手动设置固定 IP、MAC；
交换机全局添加静态 ip source binding；
接入口开启 ip check source ip-address mac-address；
测试：修改 PC MAC/IP 直接断网，达到 “仅绑定设备入网” 效果。
方案 B：低版本模拟器只做 IP 校验（折中）
接口改为仅校验 IP：ip check source ip-address，放弃 MAC 校验，兼容性更好，但防仿 MAC 能力弱。
四、快速验证命令（判断哪一步失效）
查看端口 IPSG 状态：display ip check source interface GigabitEthernet 1/0/1
查看绑定表（有无条目是关键）：display ip source binding
查看 DHCP 绑定：display dhcp snooping binding
查看端口丢弃报文：display interface GigabitEthernet 1/0/1 | include Drop
五、极简总结
模拟器 IPSG 失效头号原因：DHCP Snooping 信任口未配、模拟器 DHCP 无法生成动态绑定表；
静态 PC 不生效：缺少ip source binding静态绑定；
模拟器底层模拟缺陷会导致 IP+MAC 双校验过滤失效，改用静态绑定可彻底解决；
想实现 “只允许绑定设备上网”，模拟器优先用静态 IP + 静态 IPSG 绑定组网。

在模拟器上配置IP+MAC绑定不生效，通常不是配置有误，而是模拟器本身的功能限制导致的。

⚠️ 根本原因：模拟器的功能限制

HCL（H3C Cloud Lab）模拟器主要通过软件来模拟设备行为，而IP Source Guard这类安全功能，其报文过滤和检查通常依赖硬件芯片（ASIC） 来实现。模拟器无法完美模拟这一硬件行为，导致配置虽然能敲进去，但功能无法真正生效。

✅ 如何在模拟器中验证配置（变通方法）

虽然功能不生效，但可以通过以下方式在模拟器中验证配置逻辑：

1. 检查配置是否完整：确保在接口下执行了 ip verify source ip-address mac-address 命令。如果缺少此命令，绑定表项不会生效。

2. 尝试arp filter命令：有用户反馈，在模拟器中 arp filter binding 命令可能有效。如果必须要在模拟器里做实验，可以试试这个。

3. 检查配置细节：

   • 确认绑定的IP和MAC与终端设备完全一致。

   • 确认绑定是在终端所连接的正确物理端口上配置的。