V5交换机做认证IP显示功能

• 您好，参考
• V7：dhcp snooping binding record 不是默认开启，必须在接口 / VLAN 下敲；不敲，就算全局 dhcp snooping enable，也不会生成可用绑定表，IMC/RADIUS 拿不到这个 IPH3C
• V5 没有这条单独命令；只要全局开启 dhcp-snooping + 端口设为 untrusted，默认就会学习、生成 dhcp-snooping 绑定表，不需要额外一条 “binding record”，正好就是你看到的现象。

没毛病

核心原理区分

1. V7 dhcp snooping binding record作用 接口开启该命令，交换机把 DHCP‑Snooping 生成的 IP‑MAC 绑定表项提供给 AAA/802.1X/MAC 认证模块；认证触发时，交换机去查表，拿到终端 IP，封装进 RADIUS Access‑Request 报文中上送给 RADIUS 服务器；不配置这条，即使全局 DHCP‑Snooping 已开，AAA 模块拿不到 snooping 表项，RADIUS 报文不带用户 IP，服务器看不到终端 IP 地址H3C。

注意：DHCP‑Snooping 本身只是生成 IP‑MAC 绑定表；binding record是把这个表开放给 AAA 认证模块调用，两个是独立开关。

2. Comware V5 的差异

• V5不存在dhcp snooping binding record这条命令；
• V5 即使全局和 VLAN 开启 dhcp‑snooping，可以通过display dhcp‑snooping看到 IP‑MAC 绑定表，但 AAA/802.1X 模块默认不能读取 DHCP‑Snooping 绑定表来获取终端 IP，开启 DHCP‑Snooping 不等于 RADIUS 报文中自动携带用户 IPH3C。

❌误区：不是开 dhcp‑snooping 就默认完成 V7 中 binding‑record 的效果。

V5 两种实现 RADIUS 上报终端 IP 的方案

方案 A：dot1x dhcp‑launch（DHCP 触发 802.1X，推荐 DHCP 环境）

机制：终端先 DHCP 获取 IP，交换机拿到 DHCP ACK 报文中 IP 之后，才发起 802.1X 认证；此时交换机可以获取终端 IP，填充到 RADIUS 报文。

限制：

1. 仅适用于 802.1X；MAC 地址认证不支持该特性；
2. 终端必须先 DHCP 获取 IP 再做认证，客户端不能静态配置 IP；
3. 接口必须是 802.1X 受控端口。

方案 B：EIA 侧依靠计费报文获取 IP（兼容静态 IP、DHCP，常用）

V5 802.1X/MAC 认证的Access‑Request 认证报文阶段拿不到终端 IP；但用户上线后产生计费报文（Accounting‑Start），此时终端已经有 IP，计费报文中会携带 Framed‑IP‑Address，iMC‑EIA 服务器从计费报文中提取用户 IP展示。

现象：EIA 页面，认证记录看不到 IP，在线用户列表可以看到 IP；依赖 RADIUS 计费功能，交换机必须正确配置 radius scheme 下的计费服务器、开启计费。

注意：如果关闭 RADIUS 计费，V5 EIA 就无法拿到终端用户 IP。

V5 不支持的场景

1. MAC 地址认证：V5 没有办法在 Access‑Request 认证请求报文中带上 DHCP‑Snooping 学到的终端 IP；只能靠 Accounting‑Start 计费报文上报 IP。
2. 终端静态配置 IP：DHCP‑Snooping 无表项，两种方案都拿不到用户 IP。

排查命令 V5