S5590-28T8XC-EI配置IP与mac地址绑定问题

S5590-28T8XC-EI 静态 ARP 配置错误导致同网段不通、跨网段正常 完整根因 + 修复
一、现象拆解（先看懂为什么会出现这种诡异现象）
1. 同网段不通的根本原因
你配置了错误静态 ARP：
plaintext
arp static 10.104.163.76 cc82-7fb4-de65
真实终端 MAC 是 cc82-7fb4-de64，两者 MAC 不一致。
交换机三层 VLANIF 接口收到去往 10.104.163.76 的同网段流量；
查表匹配静态 ARP 条目，封装二层目的 MAC 为 cc82-7fb4-de65 转发；
但全网不存在这个 MAC，终端收不到报文，同网段二层转发直接失败。
2. 为什么跨网段反而能通？
跨网段流量逻辑完全不一样：
访问外网 / 其他网段时，报文目的 IP 不是 10.104.163.76，不会匹配这条错误静态 ARP；
终端只需要和网关（S5590 三层接口）通信，终端主动发送 ARP 请求网关 MAC；
网关正常应答 ARP，终端和网关二层互通，跨网段路由转发不受这条错误 ARP 影响。
简单总结：错误静态 ARP 只影响「访问这个 IP 本身」的同网段流量，不影响终端访问外网。
二、立即修复配置（两条命令搞定）
步骤 1：删除错误静态 ARP
bash
运行
system-view
undo arp static 10.104.163.76 cc82-7fb4-de65
步骤 2：配置正确 IP-MAC 静态绑定
bash
运行
arp static 10.104.163.76 cc82-7fb4-de64
验证配置生效
bash
运行
display arp static | include 10.104.163.76
输出 MAC 必须是 cc82-7fb4-de64。
三、延伸：如果你需要端口安全 + 静态 ARP 双重绑定（防 IP 篡改）
很多场景除了静态 ARP，还要限制端口只能该 MAC 上网，配套端口安全配置：
bash
运行
# 进入终端接入物理口
interface GigabitEthernet 1/0/X
port-security enable
# 绑定合法MAC
port-security mac-address static cc82-7fb4-de64
# 只允许该MAC接入，非法MAC直接丢弃
port-security max-mac-count 1
port-security violation restrict
注意区分两个概念：
arp static：三层 IP-MAC 绑定，管控网关转发 ARP 表；
port-security：二层端口 MAC 准入，管控端口能接入什么设备。
四、补充排查命令（确认修复后验证连通性）
查看 ARP 表
bash
运行
display arp | include 10.104.163.76
三层接口连通性测试
bash
运行
ping 10.104.163.76
跟踪二层转发（定位报文是否正常出端口）
bash
运行
debugging arp packet
terminal debugging
terminal monitor
五、同类问题避坑要点
静态 ARP 绑定前，先用 display mac-address、display arp dynamic 确认终端真实 MAC，不要手动输错；
静态 ARP 属于全局表项，绑定错误会直接导致该 IP 同网段断网，跨网段不受影响是典型特征；
若现场有 DHCP 服务器，推荐用DHCP Snooping + DAI