这边服务器连接交换机的时候会抢已经再用的同网断的地址，

故障根源
服务器手动配置静态 IP（未走 DHCP 分配），人为填写了网段内 PC / 业务设备正在使用的 IP，出现 IP 冲突、业务断网；交换机 / ACG 无 IP 占用校验，插上线直接广播抢占地址。
分四层方案，从临时阻断冲突 → DHCP 规范化管控 → 端口安全绑定 IP/MAC → 准入强制校验逐级根治。
一、临时应急：交换机配置 IP 源防护（最快阻止抢地址，所有 H3C 交换机通用）
功能：IP Source Guard（IPSG），仅允许 DHCP 分配的 IP+MAC 通行，禁止私设静态 IP 接入，私设地址直接丢弃，不会产生冲突。
全局基础配置
plaintext
system-view
# 全局开启DHCP Snooping，IPSG依赖该功能
dhcp snooping enable
# 信任上联DHCP服务器端口（连接DHCP/核心三层设备的口）
interface GigabitEthernet 1/0/24
dhcp snooping trust
# 下联服务器/PC接入端口统一配置
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/23
# 开启IP源防护，绑定DHCP生成的IP-MAC表项
ip source guard enable static
# 限制端口只能学习1个IP（单设备单IP）
ip source guard max-ip 1
# 开启DHCP Snooping下联口，非信任
dhcp snooping disable trust

效果：服务器手动填静态 IP，交换机直接丢弃该 IP 的报文，无法抢占网段地址，仅 DHCP 自动分配的 IP 能正常通信。
二、规范 DHCP+DHCP 中继，从源头统一分配地址（杜绝手动配静态 IP）
1. 三层设备（核心交换机 / MSR）DHCP 地址池预留排除
在 DHCP 池内把所有固定业务服务器静态 IP 段排除，DHCP 不会分配这些地址给终端：
plaintext
dhcp server ip-pool LAN
network 192.168.1.0 mask 255.255.255.0
# 排除服务器静态IP段，DHCP不会下发该区间地址
forbidden-ip 192.168.1.10 192.168.1.50
gateway-list 192.168.1.254
dns-list 223.5.5.5

2. 交换机 DHCP Relay 中继配置（三层网关不在接入交换机）
plaintext
system-view
dhcp server enable
interface Vlan-interface 1
dhcp select relay
# 指向核心DHCP服务器IP
dhcp relay server-address 192.168.2.10

配套运维要求
所有业务服务器静态 IP 统一登记，全部加入forbidden-ip排除段，DHCP 仅分配空闲终端地址，不会出现分配冲突。
三、端口安全静态绑定（服务器固定端口，永久锁定 IP+MAC，杜绝抢占）
如果服务器必须使用静态 IP，在交换机接入端口绑定固定 IP+MAC，端口仅允许该 IP 通行，换其他 IP 直接阻断。
plaintext
interface GigabitEthernet 1/0/1
port link-type access
port access vlan 1
# 开启端口安全
port-security enable
port-security max-mac-count 1
# 静态绑定服务器MAC+固定IP
port-security static ip-address 192.168.1.15 mac-address xxxx-xxxx-xxxx
# 非法IP/MAC接入直接关闭端口+生成日志
port-security violation shutdown

适用场景：服务器固定点位，不允许私自修改 IP；一旦手动更换 IP，端口直接 down 掉，无法抢占网段其他地址。
四、iMC EIA 802.1X 准入控制（政企等保标准方案，强制校验 IP 合法性）
交换机全局开启 802.1X，下联端口接入认证；
iMC 后台录入每台服务器固定 IP+MAC 资产台账；
认证策略：仅允许台账内匹配 IP/MAC 的设备放行；
私设静态 IP、占用他人地址的服务器无法通过认证，直接隔离 VLAN，不能访问内网。
配套命令（交换机侧）
plaintext
system-view
dot1x enable
interface range GigabitEthernet 1/0/1 to 1/0/24
dot1x authentication method eap
dot1x re-authenticate
dot1x eap

五、辅助：冲突告警 + 资产台账管理
交换机开启 IP 冲突日志，上传 syslog 服务器，实时提醒冲突设备：
plaintext
arp anti-attack check duplicate-ip enable
info-center loghost 192.168.2.20

建立内网 IP 资产表：
静态服务器 IP 统一规划、登记；
DHCP 分配段和静态服务器段物理隔离，完全分开，从规划层面避免抢占。
方案优先级落地建议
短期紧急：接入交换机配置 IP Source Guard + DHCP Snooping，立刻阻断私设 IP 抢占；
中期规范：DHCP 地址池排除所有服务器静态 IP 段，统一地址分配；
长期加固：服务器端口静态绑定 IP/MAC，或上线 iMC 802.1X 准入控制；
管理兜底：完善 IP 资产台账，禁止运维人员私自给服务器配置静态 IP。
常见排查验证命令
plaintext
# 查看IPSG绑定表
display ip source guard table
# 查看DHCP snooping绑定的IP-MAC
display dhcp snooping binding
# 查看端口安全静态绑定
display port-security static
# 查看IP冲突日志
display logbuffer | include duplicate