请教mac地址问题

交换机可以参考：  IPv4静态绑定表项配置举例
1. 组网需求
如图1-2所示，Host A、Host B分别与Device A的接口GigabitEthernet1/0/2、GigabitEthernet1/0/1相连。各主机均使用静态配置的IP地址。

要求通过在Device A上配置IPv4静态绑定表项，满足以下各项应用需求：

· Device A上的所有接口都允许Host A发送的IP报文通过。

· Device A的接口GigabitEthernet1/0/1上允许Host B发送的IP报文通过。

2. 组网图
图1-2 配置静态表项组网图



‌

3. 配置步骤
# 配置Device A各接口的IP地址（略）。

# 在接口GigabitEthernet1/0/2上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] ip verify source ip-address mac-address

[DeviceA-GigabitEthernet1/0/2] quit

# 配置IPv4静态绑定表项，在Device A上的所有接口都允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的数据终端Host A发送的IP报文通过。

[DeviceA] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

# 在接口GigabitEthernet1/0/1上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，在Device A的GigabitEthernet1/0/1上允许MAC地址为0001-0203-0407的数据终端Host B发送的IP报文通过。

[DeviceA-GigabitEthernet1/0/1] ip source binding mac-address 0001-0203-0407

[DeviceA-GigabitEthernet1/0/1] quit

4. 验证配置
# 在Device A上显示IPv4静态绑定表项，可以看出以上配置成功。

<DeviceA> display ip source binding static

Total entries found: 2

IP address MAC address Interface VLAN Type

192.168.0.1 0001-0203-0406 N/A N/A Static

N/A 0001-0203-0407 GE1/0/1 N/A Static

路由器web页面随不同版本有不同，具体以实际版本web模块为准。

一、ER5200G3 Web 实现：指定 MAC 只能用绑定 IP，改 IP 不能上网
原理
用静态 ARP 绑定 + IPMAC 过滤双重控制：只有表里登记的 IP+MAC 组合才能访问外网，私自改 IP、换 IP 直接断外网。
Web 完整配置步骤
添加静态 ARP 绑定（IP+MAC 一一对应）
路径：安全专区 → ARP 安全 → 静态 ARP 管理
点【添加】，填入允许的 IP、终端 MAC、备注，全部终端逐条录入；
已有在线设备可在动态 ARP 列表选中，点【静态绑定】快速固化。
静态ARP绑定页面
开启 IPMAC 过滤（核心限制开关）
路径：安全专区 → 接入控制 → IPMAC 过滤
勾选：仅允许 ARP 静态绑定的客户端访问外网，点击应用。
勾选后：只要 MAC 和 IP 不匹配绑定表，直接无法上互联网，内网互通不受影响。
IPMAC过滤开关
配套优化（推荐）
DHCP 里做静态地址分配，对应绑定的 IP，用户自动获取合规 IP，避免手动填错；
路径：网络设置 → DHCP 服务器 → 静态地址，绑定 MAC 固定分配对应 IP。
效果说明
MAC 填绑定 IP：正常上网；
同一 MAC 手动改成其他任意 IP：ARP 校验失败，无法访问外网；
换其他 MAC 使用绑定 IP：同样被拦截。
二、H3C 交换机命令行配置（二层端口严格限制 IP+MAC）
方案 1：IP Source Guard（IPSG，推荐，全局拦截非法 IP-MAC）
plaintext
# 1. 全局开启IP-MAC绑定校验，不匹配直接丢弃
system-view
ip-mac binding enable
ip-mac binding no-match action deny

# 2. 端口开启校验（接入PC端口，上行口不用开）
interface GigabitEthernet 1/0/1
ip-mac binding enable
# 绑定该端口允许的IP+MAC
ip-mac binding ip-address 192.168.1.10 mac-address xxxx-xxxx-xxxx
quit

方案 2：端口 ARP 过滤（单端口限制少量设备，最多 8 条）
plaintext
system-view
interface GigabitEthernet 1/0/1
# 仅允许这条IP+MAC的ARP报文通过，其他全部丢弃
arp filter binding 192.168.1.10 0011-2233-4455

方案 3：三元绑定（IP+MAC + 端口，防设备换端口盗用）
plaintext
interface GigabitEthernet 1/0/1
ip source static binding ip-address 192.168.1.10 mac-address 0011-2233-4455

极简总结
ER5200G3 Web：先静态 ARP 绑定所有合法 IP-MAC，再开启【仅允许 ARP 静态绑定客户端上网】，改 IP 就断外网；
H3C 交换机：用ip-mac binding全局 + 端口开启，绑定 IP-MAC，不匹配报文直接丢弃；
两种设备配置后，终端 MAC 只能使用绑定 IP，自定义其他 IP 无法访问互联网。