交换机如何实现对ip地址和mac地址的绑定

以下是IP+MAC绑定的方法总结：

IP+MAC方法一：

在全局模式使用arp static方式进行绑定，命令如下：

arp static 1.1.1.1 0023-24a1-0605

IP+MAC方法二：

进入接口使用arp filter方式进行绑定，命令如下：

int interface Ten-GigabitEthernet 1/1/1

arp filter binding 1.1.1.1 0023-24a1-0605

IP+MAC方法三：

进入接口使用动态绑定表项的方式进行绑定，命令如下：

interface Ten-GigabitEthernet 1/1/1

ip source binding ip-address 1.1.1.1 mac-address 0023-24a1-0605

ip verify source ip-address mac-address

也可在系统模式下使用动态绑定表项的方式进行绑定，命令如下：

ip source binding ip-address 1.1.1.1 mac-address 0023-24a1-0605

IP+MAC方法四：

如果本设备配置为DHCP服务器，且需要实现IP+MAC的静态绑定，命令如下：

dhcp enable

dhcp server ip-pool 123

static-bind ip-address 1.1.1.1 24 hardware-address 0023-24a1-0605

⚠️关键限制

IPSG（IP 源防护）是端口粒度安全检查，适合直接接终端的接入端口；现在核心上联的是傻瓜二层交换机，同一个核心 Trunk 接口下会存在几十台不同终端，无法在核心物理口做端口级 IPSG（端口级 IPSG 会绑定端口 + IP+MAC）H3C。

两种可行方案：

1. VLANIF 下 IP‑MAC 校验（VLAN 接口模式 IPSG）【推荐本现场】：在三层 VLANIF 接口开启ip verify source ip‑address mac‑address，只校验源 IP + 源 MAC，不校验物理入端口，适配下联傻瓜接入交换机的场景H3C。
2. 全局ip‑mac binding全局绑定（适合静态 IP 环境，DHCP 动态主机维护工作量巨大）H3C。

注意：该方案只能校验三层转发的 IP 报文；二层同 VLAN 内部互访的 ARP、二层广播报文，VLANIF‑IPSG拦截不到；如果要同时防 ARP 欺骗，需要在 S6520 对应 VLAN 开启arp‑detection enable动态 ARP 检测。

方案一：VLANIF 接口 IPSG（适配 DHCP 环境，推荐）

原理：在用户网关 VLANIF 开启 IP+MAC 校验，报文上到三层网关的时候检查源 IP 和源 MAC 是否匹配绑定表；匹配放行，不匹配丢弃；不关心报文从核心哪个物理口进来，适配下联多台傻瓜二层交换机。 绑定表来源：①DHCP‑Snooping 动态生成 DHCP 终端绑定表；②手工增加静态绑定表（服务器、固定 IP 终端）。

配置步骤

1、全局开启 dhcp‑snooping

2、VLANIF 网关接口开启 IP+MAC 校验（关键）

3、静态绑定固定 IP 的服务器 / 打印机（DHCP‑Snooping 不会生成静态 IP 设备表项，必须手工添加）

4、查看绑定表项

❗重要缺陷：VLANIF 的 ip verify source，仅对跨 VLAN 三层转发报文生效；同 VLAN 二层之间互访报文不会经过 VLANIF，不会被过滤。 如果需要阻断同 VLAN 内仿冒 IP，需要配套开启 VLAN 下动态 ARP 检测：

方案二：全局 ip‑mac binding（只适合全部静态 IP，不适合 DHCP）

不推荐 DHCP 环境，DHCP 地址租期变化，需要频繁修改绑定表，维护量大H3C。

该组网常见坑点

1. ❌不要在核心物理 Trunk 口敲ip verify source ip‑address mac‑address：物理端口 IPSG 会校验【入物理端口 + IP+MAC】，下联傻瓜交换机多终端从同一个物理口上来，直接全部断网。必须在 VLANIF 三层接口配置，不要在物理接口配置。
2. DHCP 获取地址的终端，依赖 DHCP‑Snooping 生成动态绑定；静态 IP 终端必须手工添加 ip source binding 静态表，否则会被拦截无法上网。
3. 同 VLAN 二层互访报文不受 VLANIF‑IPSG 管控，必须搭配arp‑detection防内网 ARP 欺骗。
4. 升级、割接前导出display ip source binding全部绑定表，便于故障回退。