问题拆解

现象：WAC280-30+WAP712C，DHCP 在 AC 上；人少时正常，人多弹出：因系统检测到您有多台终端共享上网，将被禁止上网一段时间 疑问：能不能做到固定 IP 不能上网，只有 DHCP 自动获取 IP 的终端才能上网？

一、弹窗根本原因

这个弹窗是 共享接入管理（防共享上网） 功能触发的，不是 DHCP / 静态 IP 本身问题H3C。 H3C 这个功能：对同一个 IP，检测报文特征，识别这个 IP 背后存在多台终端，超过阈值就冻结该 IP，推送这个阻断页面。

• 人少：每个 IP 下识别到终端数量少，不触发冻结；
• 人多：大量终端并发，AC 的共享检测模块判定一个 IP 下存在多终端，直接冻结 IP，弹出提示。

注意：即使全部终端都是 DHCP 自动获取 IP，人多依然会触发这个拦截，这就是你当前遇到的问题。

二、能否实现：禁止静态 IP 上网，仅 DHCP 分配 IP 的终端允许上网

✅ WAC280-30（Comware V7）可以实现，有两种主流方案：

方案 1：DHCP Snooping + IP Source Guard（推荐，最标准）

1. 在无线服务模板对应的 VLAN 开启 DHCP Snooping，信任 AC 本身（DHCP 服务器）；
2. 开启 IP Source Guard，只允许DHCP 动态生成的 IP+MAC 绑定表的报文通过；
3. 用户手动设置静态 IP 的终端，没有 DHCP 绑定表，报文直接丢弃，无法上网。

效果：只有从 AC 的 DHCP 地址池拿到 IP 的设备才能通信；手动填静态 IP，哪怕 IP 在网段内，也不能上网。

方案 2：ACL + 无线服务模板 packet-filter（备选）

1. DHCP 地址池网段，把地址池范围拆分为：DHCP 分配段 + 静态保留段；
2. ACL 规则：拒绝源 IP 为静态保留段所有流量，仅允许 DHCP 分配段；
3. 将 ACL 应用到 wlan service-template 的 inbound 方向。

缺点：需要预先规划网段，如果用户手动填写 DHCP 地址池内的静态 IP，依然可以上网，防护不如 IPSG。

⚠️ 限制：IPSG 是在 VLAN 接口下生效，AP 是 Fit 模式，IPSG 配置在 AC 的 VLANIF 接口，WAC280 支持这个特性。

三、优先解决你现在的弹窗问题（先处理共享接入）

你现在首要问题不是静态 IP，是共享接入管理误判：

1. 登录 WAC280 的 web / 命令行，找到【策略配置 > 共享接入管理】；
2. 降低检测灵敏度，或者调大单 IP 允许最大终端数量；测试环境可以临时关闭共享接入管理，验证是否不再弹出该页面；
3. 共享接入有两种检测机制：IPID 检测、应用特征识别，高密无线场景容易误判，终端并发量大时误报概率很高H3C。

四、简要配置思路（IPSG 核心命令参考）

Vlan10 替换为你的无线业务 VLAN；IPSG 开启后，只有 DHCP 获取地址的终端会生成 IP+MAC 绑定条目，静态 IP 终端流量直接丢弃。

五、补充说明

1. 开启 IPSG 后：静态 IP 完全无法上网，只有 DHCP 自动获取 IP 才能上网，正好匹配你的需求；
2. 但是：IPSG 不能解决 “共享接入误判”。就算全部是 DHCP 获取 IP，人多的时候共享接入功能依然会检测单 IP 下多终端，继续弹出该拦截页面。两个功能相互独立，要分开配置；
3. WAP712C 是 Fit AP，不需要单独配置，所有策略在 WAC280 上统一下发。