支持的啊

✅ S7006E 这个版本确实不支持 IPSG（ip verify source），没有接口下 IP 报文源 IP+MAC 校验功能。 ✅ 需求可行：只保护 VLAN10，其他 VLAN 完全不受影响；端口是 Trunk，一个口跑多 VLAN 业务也支持。

区分两个东西：

1. IPSG：对 IP 报文做源 IP+MAC 校验（你想要的完整 IP-MAC 绑定，防私改 IP，本设备不支持）
2. ARP 过滤 / ARP Detection：只校验 ARP 报文（可以单独 VLAN 开启，用来做 ARP 层面的 IP+MAC 绑定，就是这个方案）

方案：VLAN10 开启 ARP Detection + 绑定静态 ARP Detection 表项（推荐，只针对 VLAN10 生效）

这个特性是VLAN 视图下开启，所以只会对 VLAN10 的 ARP 报文校验；VLAN20/30 等其他 VLAN 完全不触发检查，Trunk 端口多 VLAN 互不干扰。 原理：VLAN10 内的 ARP 报文，必须匹配预先配置的 IP+MAC，非法 ARP 直接丢弃；IP 报文本身不拦截（短板：客户手动改 IP，但 ARP 报文正常的话，IP 流量还能通，只能防 ARP 欺骗，不能防私自改 IP）

完整配置

查看命令：

短板重点说明

⚠️ ARP Detection 仅过滤 ARP 报文，不拦截 IP 报文 如果终端静态修改 IP，但不发送 ARP 欺骗报文，三层 IP 流量依然可以转发。只能防御 ARP 欺骗（仿冒网关、仿冒同网段主机 ARP），不能完全做到 IP-MAC 绑定拦截非法 IP 上网（IPSG 才能做到这个）。

备选方案 1：接口下 arp filter binding（不推荐你的场景）

arp filter binding 是接口视图配置，每个接口最多只能配置 8 条 IP-MAC，限制很大。

缺点：Trunk 口下面多个 VLAN，这个过滤是对整个接口生效，无法单独限定只针对 VLAN10，不符合你的需求，条目上限低，主机多就不能用。

备选方案 2：静态 ARP（arp static）

作用：交换机自身的 ARP 表固化，防止网关被 ARP 欺骗，只能保护交换机本身；不能阻止终端之间 ARP 欺骗，同 VLAN 主机之间仿冒 ARP 攻击防护无效。只保护交换机三层接口，不保护终端之间通信。

三种方案对比

1. VLAN10 arp detection enable + static 表项（首选）

• ✅ 按 VLAN 隔离，只 VLAN10 生效，其他 VLAN 无影响；Trunk 端口多 VLAN 支持；防御 VLAN 内主机间 ARP 欺骗
• ❗ 只能拦截 ARP 报文，无法拦截 IP 报文（不能阻止主机私自修改 IP）

2. arp filter binding：接口级，最多 8 条，不支持按 VLAN 过滤，不适合
3. 静态 arp static：仅保护交换机本身，无法保护终端之间

如果要求：既要拦截非法 ARP，又禁止终端私自修改 IP（完整 IP-MAC 绑定）

当前 S7006E R7585P07 版本做不到，因为该平台不支持 IPSG。解决办法二选一：

1. 接入侧换成支持 IPSG 的接入交换机，在接入设备做 IPSG；S7006E 只做汇聚，汇聚侧只开启 arp detection 防 ARP 欺骗。
2. 802.1X 认证，在认证服务器上绑定 IP-MAC，从接入准入控制。

最佳实践建议

1. VLAN10 开启arp detection enable，上联口配置arp detection trust，录入全部 VLAN10 主机 IP+MAC 静态表项；
2. VLAN10 三层网关 Vlan-interface10，配置静态 ARP，保护网关 ARP；
3. 其他 VLAN 不配置任何 arp detection，业务完全不受影响；
4. 提前规划：这个方案只能防 ARP 欺骗，无法限制终端私自改 IP，这个限制要提前告知。

arp static 192.168.10.10 0000-000f-ffff

然后没有地址的就绑定错误的mac 就行了