问题拆解

现象：WAC280-30+WAP712C，DHCP 在 AC 上；人少时正常，人多弹出：因系统检测到您有多台终端共享上网，将被禁止上网一段时间 疑问：能不能做到固定 IP 不能上网，只有 DHCP 自动获取 IP 的终端才能上网？

一、弹窗根本原因

这个弹窗是 共享接入管理（防共享上网） 功能触发的，不是 DHCP / 静态 IP 本身问题H3C。 H3C 这个功能：对同一个 IP，检测报文特征，识别这个 IP 背后存在多台终端，超过阈值就冻结该 IP，推送这个阻断页面。

• 人少：每个 IP 下识别到终端数量少，不触发冻结；
• 人多：大量终端并发，AC 的共享检测模块判定一个 IP 下存在多终端，直接冻结 IP，弹出提示。

注意：即使全部终端都是 DHCP 自动获取 IP，人多依然会触发这个拦截，这就是你当前遇到的问题。

二、能否实现：禁止静态 IP 上网，仅 DHCP 分配 IP 的终端允许上网

✅ WAC280-30（Comware V7）可以实现，有两种主流方案：

方案 1：DHCP Snooping + IP Source Guard（推荐，最标准）

1. 在无线服务模板对应的 VLAN 开启 DHCP Snooping，信任 AC 本身（DHCP 服务器）；
2. 开启 IP Source Guard，只允许DHCP 动态生成的 IP+MAC 绑定表的报文通过；
3. 用户手动设置静态 IP 的终端，没有 DHCP 绑定表，报文直接丢弃，无法上网。

效果：只有从 AC 的 DHCP 地址池拿到 IP 的设备才能通信；手动填静态 IP，哪怕 IP 在网段内，也不能上网。

方案 2：ACL + 无线服务模板 packet-filter（备选）

1. DHCP 地址池网段，把地址池范围拆分为：DHCP 分配段 + 静态保留段；
2. ACL 规则：拒绝源 IP 为静态保留段所有流量，仅允许 DHCP 分配段；
3. 将 ACL 应用到 wlan service-template 的 inbound 方向。

缺点：需要预先规划网段，如果用户手动填写 DHCP 地址池内的静态 IP，依然可以上网，防护不如 IPSG。

⚠️ 限制：IPSG 是在 VLAN 接口下生效，AP 是 Fit 模式，IPSG 配置在 AC 的 VLANIF 接口，WAC280 支持这个特性。

三、优先解决你现在的弹窗问题（先处理共享接入）

你现在首要问题不是静态 IP，是共享接入管理误判：

1. 登录 WAC280 的 web / 命令行，找到【策略配置 > 共享接入管理】；
2. 降低检测灵敏度，或者调大单 IP 允许最大终端数量；测试环境可以临时关闭共享接入管理，验证是否不再弹出该页面；
3. 共享接入有两种检测机制：IPID 检测、应用特征识别，高密无线场景容易误判，终端并发量大时误报概率很高H3C。

四、简要配置思路（IPSG 核心命令参考）

Vlan10 替换为你的无线业务 VLAN；IPSG 开启后，只有 DHCP 获取地址的终端会生成 IP+MAC 绑定条目，静态 IP 终端流量直接丢弃。

五、补充说明

1. 开启 IPSG 后：静态 IP 完全无法上网，只有 DHCP 自动获取 IP 才能上网，正好匹配你的需求；
2. 但是：IPSG 不能解决 “共享接入误判”。就算全部是 DHCP 获取 IP，人多的时候共享接入功能依然会检测单 IP 下多终端，继续弹出该拦截页面。两个功能相互独立，要分开配置；
3. WAP712C 是 Fit AP，不需要单独配置，所有策略在 WAC280 上统一下发。

dhcp snooping + IP Source Guard，这样不是从设定的dhcp服务器获取地址的终端，就没办法上网

可以做到：静态 IP 的无线终端不能上网；只有 AC 的 DHCP 分配出来 IP 的终端才能上网，不是天然自带，需要配置 IP Source Guard（IP 源防护）+ DHCP Snooping，无线是在 WLAN-BSS 接口下启用。

你的现象：人少正常、人多掉线，大概率是 AC 地址池耗尽，很多用户手动填静态 IP 占网段、地址冲突、抢占网关 ARP。开启这个功能正好解决这个问题。

原理

DHCP Snooping 会收集 AC DHCP 服务器下发的【IP+MAC 绑定表】；IP 源防护只放行表里存在的 IP+MAC，手动静态配置 IP 的终端，没有 DHCP Snooping 绑定表项，直接丢弃报文，无法上网。

注意：WAC280-30 是 V7 平台。无线业务在 WLAN-BSS 接口，不是物理端口。

完整配置命令（CLI）

假设无线业务 VLAN 是 VLAN10，网关 Vlan-interface10（AC 上做 DHCP 服务器）

ip source guard enable：开启 IP 源检查，只允许 dhcp snooping 学到的 IP+MAC 通行。

查看表项

这里面只有成功从 AC 拿到 DHCP 地址的手机 / 电脑的 IP-MAC 条目；手动设静态 IP 的设备，不会生成这条表，流量直接丢弃，上不了外网。

⚠️ 重要注意点

1. AP 管理 VLAN 不要开 ip source guard，只在【无线用户业务 VLAN】启用，否则 APCAPWAP 隧道会断，AP 下线。
2. AC 本身、网关、服务器这类固定静态 IP 设备：需要手动添加静态绑定，否则也会被拦截：

3. 如果你是本地转发（local-forward）：业务流量不经过 AC，而是直接上交换机，IP Source Guard 要在核心交换机业务 VLAN 配置，AC 上配置无效！

这点非常关键：WAP712C 支持集中转发 / 本地转发。

• 集中转发（隧道转发）：流量回 AC，AC 上配置生效；
• 本地转发：AP 直接把流量甩到接入交换机，防护要在交换机做。

你现在人多断网的优先排查

1. 看 AC DHCP 地址池，地址池范围是否太小：display dhcp server ip-in-use，看地址是否被耗尽。人多的时候终端拿不到 IP，用户就手动设置静态 IP，造成 ARP 冲突、网关卡顿。
2. 开启 IP Source Guard，就是禁止用户私自填静态 IP，杜绝地址冲突。
3. 可以扩大 DHCP 地址池租期，或者扩大地址段。

你遇到的“检测到多台终端共享上网被禁止”的提示，根源在于运营商侧或AC/AP侧触发了“防共享”检测机制。人少时正常、人多时出现，通常与DHCP地址池分配、运营商NAT检测或AC上的共享检测功能有关。

 核心原因定位

这个提示不是H3C无线设备自带的默认功能，而是以下几种情况之一：

 首先判断DHCP地址池是否够用

你提到“人少正常，人多如图”，建议先确认DHCP地址池大小是否足够。

在AC上执行：

查看地址池总量和已分配数量。如果已分配数接近地址池上限，说明地址池太小，需要扩大：

同时，地址池的租期（lease time） 不宜过长，无线终端流动性大，建议设置为2-4小时，避免地址回收慢导致耗尽。

 关于“防共享”检测的两种情况

情况一：运营商侧检测

如果光猫/运营商线路本身有防共享机制，AC上无法直接关闭。需要联系运营商确认是否开启了“多终端共享限制”，或申请解除。企业宽带通常不会有此限制，但部分校园套餐或低价套餐可能默认开启。

情况二：AC上的共享检测功能

部分H3C无线控制器（尤其是支持“云简网络”或“小贝”系列的型号）可能内置了终端共享检测功能。请检查AC的Web界面或命令行，搜索关键词 share 或 multi-terminal：

如果发现相关配置，可以尝试关闭或调整阈值。

 关于你的两个问题

问：能设置固定的IP不让上网吗？
答：可以。 有两种方式：

• 方式一：在DHCP服务器中排除特定MAC地址。让这些设备无法获取到IP，自然无法上网。

• 方式二：在AC上配置ACL，基于MAC地址或IP地址禁止访问外网。

问：只有自动获取才能上网吗？
答：不是。 终端完全可以手动配置静态IP地址上网，前提是：

1. 该静态IP在AC的DHCP地址池网段内；

2. 该IP未被DHCP服务器分配出去（建议在地址池中排除该IP）；

3. 终端配置的网关指向AC的VLAN接口IP；

4. AC上不需要做额外限制。