参考官网 文档：https://www.h3c.com/cn/d_201810/1118513_30005_0.htm#_Toc527627889

# 在端口Ethernet1/0/2上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

<DeviceA> system-view

[DeviceA] interface ethernet 1/0/2

[DeviceA-Ethernet1/0/2] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，只允许MAC地址为0001-0203-0405、IP地址为192.168.0.3的Host C发送的IP报文通过端口Ethernet1/0/2。

[DeviceA] interface ethernet 1/0/2

[DeviceA-Ethernet1/0/2] ip source binding ip-address 192.168.0.3 mac-address 0001-0203-0405

[DeviceA-Ethernet1/0/2] quit

# 在端口Ethernet1/0/1上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

[DeviceA] interface ethernet 1/0/1

[DeviceA-Ethernet1/0/1] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，只允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的Host A发送的IP报文通过端口Ethernet1/0/1。

[DeviceA-Ethernet1/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

[DeviceA-Ethernet1/0/1] quit

H3C S2126（S2126-EI）MAC + 端口绑定（mac port-binding）

整机最多支持512 条 MAC 绑定条目，绑 40 台完全够用；S2126 是二层接入交换机，只有【端口 + MAC 绑定】，没有整机 IP-MAC 绑定。 功能效果：只有绑定的 MAC 从指定端口接入才能通信；换电脑（MAC 不同）插这个端口直接不通。 ⚠️ 注意：不是禁止用户静态 IP！这个只是二层 MAC 绑定，无法管控 IP；如果你想要：仅 DHCP 自动获取才能上网、静态 IP 不能上网，这个 S2126 做不到（S2126 不支持 IPSG，需要在三层网关 / AC 上做 IP 源防护，就是刚才你 WAC280 那套）。

两种方式

方式 1：命令行绑定（推荐，批量 40 台）

假设业务 VLAN 是 VLAN1，端口 Ethernet0/1~E0/24，上行口 E0/24（上行口不要绑定）

一条命令绑定一台，复制粘贴批量输入即可。

查看绑定表：

保存配置：

删除单条绑定：

方式 2：Web 网管绑定（适合少量，40 台点起来麻烦）

1. 浏览器登录 S2126 管理 IP
2. 菜单：MAC 地址管理 → MAC 端口绑定
3. 添加：填入 MAC、端口、VLAN，启用
4. 全部添加后保存配置

方案 B：端口安全 port-security（可选）

适合：端口固定，自动学习 MAC，限制端口最多接入终端数。

autolearn：首次电脑上线自动学习 MAC，写入安全 MAC 表；重启交换机学习到的安全 MAC 丢失，需要重新学习。 缺点：重启失效，适合临时，不推荐 40 台正式环境。

重要限制（一定要清楚）

1. ✅ mac port-binding 绑定：永久保存（save 后重启不丢），推荐正式使用
2. ❗ 该功能只限制 MAC，不限制 IP： 电脑 MAC 不变，手动设置静态 IP 依然可以上网。

   你前面需求：静态 IP 不能上网，只有 DHCP 获取 IP 才能上网，S2126 二层交换机做不了，要在三层网关（AC / 核心交换机）部署 DHCP Snooping+IP Source Guard。

3. 上行口（上联到 S6800 的端口）不要配置 mac port-binding，否则全网断。
4. MAC 格式必须是 xxxx-xxxx-xxxx，不能写冒号 xx:xx:xx:xx:xx:xx。

推荐实施方案

1. 收集 40 台电脑 MAC 地址 + 接入端口号；
2. 在 S2126 执行mac-address port-binding批量绑定；
3. 如果你要拦截私自静态 IP，在网关设备（AC / 核心）开启 IPSG，S2126 只做端口 MAC 准入。