H3C S5024PV6-EI 交换机怎样做端口绑定MAC

一、配置前必须准备的工作（新手优先做完）
1. 登录交换机工具
两种登录方式任选其一：
1）Console 本地调试（推荐新手，不怕配错断网）
配件：USB 转 Console 线、驱动程序；
软件：SecureCRT/Xshell，波特率 9600，8N1；
2）网线 Web / 远程 Telnet
S5024PV6-EI 默认管理 IP：192.168.0.233/24，账号 admin、密码 admin；
电脑 IP 改成同网段（如 192.168.0.100），浏览器输入 IP 登录图形界面。
2. 收集终端信息（核心）
给 35 台无盘电脑做表格，记录三列：
表格
交换机编号 端口号（GE1/0/1~24） 电脑 MAC 物理地址
SW1 1/0/1 00xx-xxxx-xxxx
查看电脑 MAC 方法：Win+R 输入cmd，执行ipconfig /all，「物理地址」就是 MAC。
3. 日志服务器前置确认
1）记录无盘服务器 IP（Syslog 接收地址，默认 UDP514 端口）；
2）服务器放行 514 端口，开启 syslog 接收服务；
3）交换机和服务器三层互通，能 ping 通。
4. 组网额外准备（两台交换机级联）
两台交换机互联的级联口不能绑定端口安全，否则两台交换机通信中断，级联口单独放开。
二、功能说明：端口安全 MAC 绑定原理
使用port-security端口安全实现一端口仅允许一台固定电脑接入：
端口最多学习 1 个 MAC；
非法设备插上来直接 shutdown 关闭端口；
永久绑定，交换机重启配置不丢失。
三、完整配置命令（分 2 台交换机，复制即可改参数）
通用前置（每台交换机第一步执行）
plaintext
<H3C>system-view
# 全局开启端口安全功能
[H3C]port-security enable
# 开启端口安全违规日志（非法设备接入会上传日志到服务器）
[H3C]port-security access-user log enable violation
# 开启信息中心，用于上传日志到无盘服务器
[H3C]info-center enable
# 配置日志服务器IP（替换为你的无盘服务器IP）
[H3C]info-center loghost 192.168.1.50
# 日志级别：记录警告、故障、非法接入日志
[H3C]info-center source default loghost level warnings
单端口 MAC 绑定模板（以 GE1/0/1 举例，每台电脑端口重复配置）
plaintext
# 进入对应电脑端口
[H3C]interface GigabitEthernet 1/0/1
# 端口设为接入模式（无盘电脑都是access）
[H3C-GigabitEthernet1/0/1]port link-type access
[H3C-GigabitEthernet1/0/1]port access vlan 1
# 开启端口安全
[H3C-GigabitEthernet1/0/1]port-security enable
# 限制端口只允许1台设备
[H3C-GigabitEthernet1/0/1]port-security max-mac-count 1
# 静态绑定电脑MAC（替换成你表格里的MAC地址）
[H3C-GigabitEthernet1/0/1]port-security mac-address sticky 0011-2233-4455
# 非法设备接入处理：直接关闭端口（restrict仅告警不关闭，按需替换）
[H3C-GigabitEthernet1/0/1]port-security violation shutdown
[H3C-GigabitEthernet1/0/1]quit
级联口特殊配置（两台交换机互联端口，不能加端口安全）
plaintext
interface GigabitEthernet 1/0/24
port link-type trunk
port trunk permit vlan all
# 不配置port-security相关命令，保证两台交换机互通
配置完成保存（必须执行，重启不丢失）
plaintext
[H3C]save
# 输入Y确认保存
四、Web 图形界面简易操作（新手不用敲命令）
浏览器登录192.168.0.233；
MAC 端口绑定：安全→端口安全，选中端口，设置最大 MAC=1，手动填入电脑 MAC，违规动作选关闭端口；
日志服务器配置：系统→信息中心→日志主机，添加无盘服务器 IP，保存；
右上角导出配置 / 保存配置。
五、常用验证 & 排错命令
1. 查看端口绑定 MAC 是否生效
plaintext
display port-security all
display mac-address static
2. 查看日志服务器配置
plaintext
display info-center loghost
3. 查看非法接入、端口关闭记录
plaintext
display logbuffer
4. 端口被非法设备关闭后，恢复端口
plaintext
interface GigabitEthernet 1/0/1
undo shutdown
六、关键注意事项（无盘环境重点）
不要给服务器端口加严格 shutdown 策略
无盘服务器接交换机端口，建议违规动作改为restrict（仅告警不关机），避免误断无盘启动；
plaintext
port-security violation restrict
两台交换机都要完整配置绑定 + 日志上传，缺一不可；
若后续更换电脑，先进入端口删除旧 MAC 再绑定新 MAC：
plaintext
undo port-security mac-address sticky 0011-2233-4455
日志服务器需开启 syslog 接收，默认端口 UDP514，防火墙不要拦截；
所有端口默认 VLAN1，如果无盘划分了业务 VLAN，把port access vlan 1改成对应 VLAN ID。
七、两种违规模式区别（按需选择）
shutdown（推荐员工电脑）：插陌生设备直接断网，安全严格；
restrict（推荐服务器 / 级联口）：仅产生告警日志，不关闭端口，保障无盘业务不中断。