S5130S交换机如何配置终端只能通过dhcp分配地址上网，无法使用手动配置静态IP上网

全局开启：打开 DHCP、DHCP 监听、CHADDR 校验、DAI；
业务 VLAN：在用户 VLAN 内同时开启 DHCP 监听、ARP 检测、IP 源绑定校验；
端口区分
上联连网关 / DHCP 服务器端口：配置trust信任；
下联用户端口：非信任模式，开启 IP 源校验。

如需打印机 / 服务器固定静态 IP 上网，手动添加静态绑定放行即可；
只开 DAI 只能防 ARP 欺骗，必须开启ip source check user-bind enable才能阻断静态 IP 上网。

H3C S5130S 交换机有完全对应的方案，并且实现思路更清晰。核心是组合使用 DHCP Snooping + IP Source Guard (IPSG)，而不是依赖类似华为的 arp anti-attack check user-bind enable。

⚙️ 配置步骤（四步实现）

1. 全局开启 DHCP Snooping

这是所有后续功能的基础。

2. 在用户所在 VLAN 开启 DHCP Snooping

假设你的终端都在 VLAN 10 中。

3. 配置上行端口为信任口

将与合法 DHCP 服务器相连的端口（上联口）设为信任口，防止非法 DHCP 服务器影响网络。

4. 在用户接入端口开启 IP Source Guard（最关键一步）

这是禁止静态IP的核心。在连接终端的所有下行端口上，开启 IPSG 并指定绑定 DHCP Snooping 表项。

🔍 工作原理与效果

• 建立合法名单：DHCP Snooping 会“偷听”DHCP交互过程，为每个成功获取IP的终端自动生成一条“IP + MAC + 端口”的绑定表项。

• 执行严格过滤：在终端接入端口开启 ip verify source 后，该端口会变成“门禁”。

  • DHCP用户：数据包的源IP和MAC与DHCP Snooping表项匹配，放行。

  • 静态IP用户：手动配置的IP在DHCP Snooping表项中没有记录，数据包会被丢弃，从而无法上网。