ad capums 针对某一个mac禁止分配ip

AD-Campus E7302H01版本支持基于MAC的准入控制，可通过认证策略或DHCP过滤实现禁止特定MAC分配IP。
排查/配置步骤：
1. 确认版本能力
E7302H01属于AD-Campus 7.3系列，支持MAC认证和DHCP Snooping绑定。若需“禁止分配IP”，推荐用MAC认证失败即隔离的方式。
2. 配置MAC认证黑名单
在EIA（终端智能接入）组件中：
进入“用户 > 接入策略管理 > 认证策略”
创建MAC认证策略，将目标MAC加入“黑名单”
关联到对应接入设备端口或SSID
效果：该MAC认证失败，无法获取IP
3. DHCP Snooping静态绑定（可选）
若交换机为H3C Comware，可在接入交换机上：
bash
dhcp snooping enable
ip source binding ip-address 0.0.0.0 mac-address xxxx-xxxx-xxxx vlan

绑定0.0.0.0可阻止该MAC获取任何IP。
4. 验证命令
在EIA查看在线用户/认证失败日志
交换机上：display dhcp snooping binding 或 display mac-authentication connection
注意：若AD-Campus部署为VXLAN+EVPN架构，需在Leaf交换机对应VSI或AC口下发过滤，建议通过EIA策略统一下发。

核心结论

vDHCP 本身没有黑名单功能，不支持直接在控制器页面添加 MAC 黑名单、拒绝给指定 MAC 下发 IP 地址；E7302H01 版本也没有开放该特性H3C。

注意区分：vDHCP 支持MAC‑IP 静态绑定（保留地址），但不支持拒绝 / 拉黑某 MAC，收到该 MAC 的 DHCP 请求直接不回复。绑定是 “固定给某个 MAC 分配指定 IP”，不是拒绝分配 IP。

可用的 4 种替代实现方案

方案 1：接入层做 MAC 过滤（推荐，效果最彻底）

在接入交换机接口配置 MAC 地址过滤，直接丢弃该终端报文。

• 有线：接入交换机端口配置mac‑address‑filter，拉黑该 MAC；
• 无线：在 AC 配置静态黑名单，该 MAC 直接关联不上 AP，拿不到任何报文。

优点：终端直接无法接入网络，连 DHCP 请求都发不出来；缺点：需要在设备上配置，控制器页面无统一黑名单界面。

方案 2：EIA 认证侧拒绝该终端（适合 802.1X/MAC 认证环境）

如果是 AD‑Campus 认证上线场景：

1. MAC 认证场景：不在 EIA 把该 MAC 加入允许列表；终端 MAC 认证直接被 EIA 拒绝，不会开放 VLAN，拿不到 DHCP 地址。
2. 802.1X 账号认证：禁用账号；账号认证失败，网络不通。

⚠️注意：如果终端配置静态 IP，即使认证失败，仍然可以手动设置静态 IP 通信；该方案只能管控 DHCP 获取地址，管不住静态 IP。

方案 3：如果用 Windows 外置 DHCP 服务器（非 vDHCP）

Windows 原生 DHCP 支持 Filters‑Deny 黑名单，可以添加 MAC 拒绝分配 IP 地址Microsoft ...。

前提：ADCampus 改为松耦合模式对接 Windows DHCP，不再使用 vDHCP；BYOD 业务不允许使用 Windows DHCP，BYOD 必须 vDHCP，此场景不可用H3C。

方案 4：vDHCP 侧无直接黑名单，只能规避，不能拒绝

vDHCP 的 vdhcpshell 命令行，只有：地址查看、IP‑MAC 静态绑定、地址释放，没有 deny‑mac 黑名单命令H3C。

#登录vDHCP容器查看地址池，没有黑名单相关配置 vdhcpshell display dhcp server ip‑in‑use

不支持输入类似deny‑mac xxxx‑xxxx‑xxxx的命令。

重要风险提示

无论 DHCP 层面拉黑 MAC，都拦不住用户手动设置静态 IP。只靠 DHCP 拒绝分配 IP，终端手动配置静态 IP 依旧可以通信。

想要彻底阻断终端：二层接入层拉黑 MAC（交换机 / AC 黑名单），这才是完整闭环。

排错 & 验证命令

1. 登录 vDHCP 查看该 MAC 的 DHCP 请求是否到达 vDHCP

vdhcpshell debugging dhcp server packet #观察是否收到该MAC的DHCP Discover报文 undo debugging all

2. EIA 侧查看该 MAC 认证日志，看是否被拒绝。

总结

1. E7302H01 版本，vDHCP 组件没有 MAC 黑名单功能，不能直接配置禁止某 MAC 获取 IP 地址。
2. 最佳方案：有线在接入交换机配置 mac‑address‑filter，无线 AC 配置静态黑名单。
3. 认证环境：在 EIA 拒绝该 MAC / 账号。
4. BYOD 业务不能切换 Windows DHCP，只能用接入层黑名单方式实现。