交换机DHCP和ARP保护的问题

1、一般建议把网关增加到forbidden-ip里；

2、arp静态绑定可以解决手动配地址的问题，但是现场还有部分终端地址是dhcp下发的，两个要控制一致；

3、一般是三层节点才有arp表项，核心配就可以；

4、可以在接入层做IP source Guard。

1. 网关 VLANIF IP 不会被 DHCP 分配，建议加上禁止分配更稳妥；
2. 核心静态 ARP 拦不住终端仿冒网关，解决不了断网；
3. static-arp 只在核心配，ARP 检测、DHCP Snooping 要在接入配；
4. 标准方案：接入开 DHCP Snooping+ARP Detection，有静态设备加手工绑定，可再加 IP 源防护。

网关需要加到forbidden-ip么？
正常交换机不会分配网关地址吧？

5500V2的交换机上，我配置了DHCP SERVER 配置的地址池没有任何的排除地址，然后网关是这个交换机的VLAN虚接口地址，这种情况VLAN虚接口的IP会不会分配给下面的设备？

不会，分配地址之前dhcp服务器会广播问一下这个地址有没有被占用

第二个问题是我做VLAN虚接口的IP和MAC地址的ARP静态绑定会不会解决下面的终端手动配置IP的时候填写核心VLAN虚接口的IP地址导致断网。

不能，需要配置基于dhcp的ip source guard

第三个问题是我做ARP绑定的时候是只在核心上做就可以还是必须在核心和接入上都做绑定

三层

第四个问题是官方给的我这种架构解决下面终端手动配置IP地址和自动获取冲突的问题方法

dhcp ip source guard