华为交换机怎么绑定绑定ip地址和mac地址.doc

华为交换机怎么绑定绑定i p地址和m a c地址交换机除了能够连接同种类型的网络之外，还可以在不同类型的网络(如以太网和快速以太网)之间起到互连作用。

华为交换机怎么绑定绑定i p地址/M A C地址?主要是预防I P地址被盗用等网络安全威胁的问题，该怎么设置绑定呢?下面我们就来看看详细的设置教程，需要的朋友可以参考下具体步骤1、打开模拟器，创建一台交换机和两台P C、开机，配置好I P地址，一台P C备用。

2、交换机配置V l a n，把端口模式改为A c c e s s模式，把端口加入到V l a n100里，测试P C到交换机网通信是否正常。

当前没有路由器网管配置或不配置没有关系。

能p i n g通交换机。

3、接下来做绑定配置，在G i g a b i t E t h e r n e t0/0/1端口上绑定当前P C的I P和M A C地址，V l a n。

命令格式：在配置模式下，[H u a w e i] u s e r-b i n d s t a t i c i p a d d r e s s x.x.x.x m a c a d d r e s s x x x x-x x x x-x x x x i n t e r f a c eG i g a b i t E t h e r n e t0/0/1v l a n I D。

4、下一步绑定完了之后，我们再连接另一台备用的P C到交换机 i n t e r f a c e G i g a b i t E t h e r n e t0/0/1端口上。

5、换了另一台P C会不会p i n g通交换机。

很显然已经p i n g不同。

怎么样?是不是很简单呢?相关阅读：交换机工作原理过程交换机工作于O S I参考模型的第二层，即数据链路层。

交换机内部的C P U会在每个端口成功连接时，通过将M A C地址和端口对应，形成一张M A C表。

在今后的通讯中，发往该M A C地址的数据包将仅送往其对应的端口，而不是所有的端口。

H3CS5100交换机H3C交换机绑定IP和MAC地址H3C S5100交换机交换机是一种用于电信号转发的网络设备。

它可以为接入交换机的任意两个网络节点提供独享的电信号通路。

交换机工作在数据链路层，拥有一条很高带宽的背部总线和内部交换矩阵。

交换机的所有的端口都挂接在这条背部总线上，控制电路收到数据包以后，处理端口会查找内存中的地址对照表以确定目的MAC（网卡的硬件地址）的NIC（网卡）挂接在哪个端口上，通过内部交换矩阵迅速将数据包传送到目的端口，目的MAC若不存在，广播到所有的端口，接收端口回应后交换机会“自动学习”新的地址，并把它添加入内部MAC地址列表。

交换机配置信息配置交换机必须进入交换机系统system-view创建VLAN和进入VLAN[H3C]VLAN 2将接口划分到VLAN中，(下列表示将23到28接口划分到VLAN2) [H3C-vlan2]port GigabitEthernet 1/0/23 to GigabitEthernet 1/0/28[H3C-vlan2]port GigabitEthernet 1/0/2 （把接口2划分到VLAN2）进入接口模式（进入25接口）[H3C]interface GigabitEthernet 1/0/23[H3C-GigabitEthernet1/0/23]am user-bind命令IP、MAC地址和端口绑定配置[H3C]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9 interface GigabtEthernet 1/0/23与[H3C-GigabitEthernet1/0/23]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9配置是完全相同的查看配置命令：[H3C]display am user-bind注意：同一IP或MAC地址不可以在同一模式下绑定两次，模式是指接口模式或全局模式MAC地址和端口绑定配置第一种：进入系统视图。

华为交换机怎么绑定绑定ip地址/MAC地址交换机的主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。

交换机还具备了一些新的功能，如对VLAN(虚拟局域网)的支持、对链路汇聚的支持，甚至有的还具有防火墙的功能。

有时为了预防IP地址被盗用等网络安全威胁的问题，需要设置绑定呢，具体怎么设置呢?下面我们就来看看详细的设置教程，需要的朋友可以参考下方法步骤1、打开模拟器，创建一台交换机和两台PC、开机，配置好IP地址，一台PC备用。

2、交换机配置Vlan，把端口模式改为Access模式，把端口加入到Vlan100里，测试PC到交换机网通信是否正常。

当前没有路由器网管配置或不配置没有关系。

能ping通交换机。

3、接下来做绑定配置，在GigabitEthernet0/0/1端口上绑定当前PC的IP和MAC地址，Vlan。

命令格式：在配置模式下，[Huawei]user-bindstaticipaddressx.x.x.xmacaddressxxxx-xxxx-xxxxinterfaceGigabitEthernet0/0/1vlanID。

4、下一步绑定完了之后，我们再连接另一台备用的PC到交换机interfaceGigabitEthernet0/0/1端口上。

5、换了另一台PC会不会ping通交换机。

很显然已经ping 不同。

怎么样?是不是很简单呢?补充：交换机基本使用方法作为基本核心交换机使用，连接多个有线设备使用：网络结构如下图，基本连接参考上面的【方法/步骤1：基本连接方式】作为网络隔离使用：对于一些功能好的交换机，可以通过模式选择开关选择网络隔离模式，实现网络隔离的作用，可以只允许普通端口和UPlink端口通讯，普通端口之间是相互隔离不可以通讯的除了作为核心交换机(中心交换机)使用，还可以作为扩展交换机(接入交换机)来扩展网络放在路由器上方，扩展网络供应商的网络线路(用于一条线路多个IP的网络)，连接之后不同的路由器用不同的IP连接至公网相关阅读：交换机硬件故障常见问题电源故障：由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源损坏或者风扇停止，从而不能正常工作。

绑定客户端IP+MAC+端口[Huawei]user-bind static ip-address 192.168.2.2 mac-address 5489-9852-137A interface GigabitEthernet 0/0/2[Huawei]user-bind static mac-address 6489-98CF-1525 interface g0/0/1系统视图下am user-bind mac-addr mac地址ip-addr ip地址interface 接口类型接口序号以太网端口视图下interface 接口类型接口序号am user-bind mac-addr mac地址ip-addr ip地址华为s5700 ip地址+mac地址+端口绑定问：将单位的交换机绑定ip地址，mac地址和端口，实现某台ip为172.16.3.113，mac地址为000B-2F37-FE4F只能通过GigabitEthernet0/0/2这个端口来上网或查看局域网内的共享文件。

答：一般用am user-bind做。

am user-bind ip-address 172.16.3.113 mac-address 000B-2F37-FE4F interface GigabitEthernet0/0/2首先要有思想准备，工作量巨大。

答：用完后可以到所在VLAN或者端口执行：ip source check user-bind enable一、1、系统视图下am user-bind mac-addr mac地址 ip-addr ip地址 interface 接口类型接口序号2、以太网端口视图下interface 接口类型接口序号am user-bind mac-addr mac地址 ip-addr ip地址二、端口绑定2.1 端口绑定命令2.1.1 am user-bind interface【命令】am user-bind mac-addr mac-address ip-addr ip-address interfaceinterface-type interface-numberundo am user-bind mac-addr mac-address ip-addr ip-address interfaceinterface-type interface-number【视图】系统视图【参数】mac-address：绑定的MAC 地址值。

华为交换机配置方法华为交换机是一种高性能网络交换设备，广泛应用于企业、政府机构、教育机构等各种网络环境中。

下面是华为交换机配置的详细方法：登录华为交换机使用终端软件，如SecureCRT或PuTTY，连接到华为交换机的管理口，并输入用户名和密码进行登录。

一般情况下，用户名为admin，密码为admin。

进入系统视图华为交换机采用层级结构的管理视图，系统视图是最高层级的视图。

在登录成功后，可以通过输入system-view命令进入系统视图。

配置基本网络参数在系统视图下，可以配置华为交换机的基本网络参数，包括IP地址、子网掩码、网关和DNS服务器等。

具体命令如下：配置IP地址：interface vlanif 1，ip address 192.168.1.1 24配置网关：ip route-static 0.0.0.0 0.0.0.0 192.168.1.254 配置DNS服务器：ip dns server-address 8.8.8.8其中，vlanif 1是虚拟接口编号，192.168.1.1是华为交换机的IP地址，24是子网掩码的长度，0.0.0.0 0.0.0.0表示默认路由，192.168.1.254是网关的IP地址，8.8.8.8是DNS服务器的IP地址。

配置VLANVLAN是一种虚拟局域网技术，可以将不同的物理端口划分到不同的逻辑网络中。

华为交换机支持IEEE 802.1Q标准的VLAN。

具体命令如下：创建VLAN：vlan batch 10 20配置VLAN接口：interface vlanif 10，ip address 192.168.10.1 24配置端口所属VLAN：interface gigabitethernet 1/0/1，port link-type access，port default vlan 10其中，vlan batch 10 20是批量创建VLAN 10和VLAN 20，interface vlanif 10是VLAN 10的虚拟接口，192.168.10.1是VLAN 10的IP地址，gigabitethernet 1/0/1是物理端口的接口编号。

华为交换机怎么绑定绑定ip地址/MAC地址方法步骤1、打开模拟器，创建一台交换机和两台PC、开机，配置好IP地址，一台PC备用。

2、交换机配置Vlan，把端口模式改为Access模式，把端口加入到Vlan100里，测试PC到交换机网通信是否正常。

当前没有路由器网管配置或不配置没有关系。

能ping通交换机。

3、接下来做绑定配置，在GigabitEthernet0/0/1端口上绑定当前PC的IP和MAC地址，Vlan。

命令格式：在配置模式下，[Huawei] user-bind static ip address x.x.x.x mac address xxxx-xxxx-xxxx interface GigabitEthernet 0/0/1 vlan ID 。

4、下一步绑定完了之后，我们再连接另一台备用的PC 到交换机interface GigabitEthernet 0/0/1 端口上。

5、换了另一台PC会不会ping通交换机。

很显然已经ping 不同。

怎么样?是不是很简单呢?补充：交换机基本使用方法作为基本核心交换机使用，连接多个有线设备使用：网络结构如下图，基本连接参考上面的【方法/步骤1：基本连接方式】作为网络隔离使用：对于一些功能好的交换机，可以通过模式选择开关选择网络隔离模式，实现网络隔离的作用，可以只允许普通端口和UPlink端口通讯，普通端口之间是相互隔离不可以通讯的除了作为核心交换机(中心交换机)使用，还可以作为扩展交换机(接入交换机)来扩展网络放在路由器上方，扩展网络供应商的网络线路(用于一条线路多个IP的网络)，连接之后不同的路由器用不同的IP连接至公网相关阅读：交换机硬件故障常见问题电源故障：由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源损坏或者风扇停止，从而不能正常工作。

由于电源缘故而导致机内其他部件损坏的事情也经常发生。

如果面板上的POWER指示灯是绿色的，就表示是正常的;如果该指示灯灭了，则说明交换机没有正常供电。

华为交换机MAC地址与端⼝绑定华为交换机MAC地址与端⼝绑定绑定客户端IP+MAC+端⼝别的版本使⽤这个命令user-bind static ip-address[Huawei]user-bind static ip-address 192.168.2.2 mac-address 5489-9852-137A interface GigabitEthernet 0/0/2对其他客户端进⾏相同操作结果如下⼀个端⼝只能接⼀个mac地址，禁⽌了hub和⽆线路由器等多⽤户上⽹的弊端。

华为 S3026⽀持端⼝和Mac地址绑定[Quidway]mac-address static 000d-60d0-d62e interface ehternet 0/2 vlan1该端⼝最⼤可以学习到600个Mac地址[Quidway-Ethernet0/2]mac-address max-mac-count 600禁⽌接⼝学习别的Mac地址[Quidway] inter e0/2[Quidway-Ethernet0/2]mac-address mac-learning disable将IP地址、MAC地址和接⼝进⾏绑定，如何配置?解决⽅案交换机⽀持IP+PORT、MAC+PORT、IP+MAC+PORT、IP+PORT+VLAN、MAC+PORT+VLAN、IP+MAC+PORT+VLAN六种类型的静态绑定。

使⽤命令user-bind static { { ip-address | ipv6-address } start-ip [ to end-ip ] &<1-10> | mac-address mac-address } * [ interface interface-type interface-number ] [ vlan vlan-id [ ce-vlan ce-vlan-id ] ]可以配置IP地址、MAC地址和接⼝的绑定。

常见MAC操作MAC地址（英语：Media Access Control Address），直译为媒体存取控制位址，也称为局域网地址（LAN Address），MAC位址，以太网地址（Ethernet Address）或物理地址（Physical Address），它是一个用来确认网络设备位置的位址。

在OSI模型中，第三层网络层负责IP 地址，第二层数据链路层则负责MAC位址。

MAC地址用于在网络中唯一标示一个网卡，一台设备若有一或多个网卡，则每个网卡都需要并会有一个唯一的MAC地址。

一、查看所有的MAC地址<HUAWEI>display mac-address二、查看某个接口学习到的MAC地址<HUAWEI>display mac-address dynamic gigabitethernet 1/0/1三、查看某个VLAN学习到的MAC地址<HUAWEI>display mac-address dynamic vlan 10四、查看系统的MAC地址二层接口的MAC地址就是设备的MAC地址<HUAWEI>display interface gigabitethernet 1/0/1五、查看VLANIF接口的MAC地址<HUAWEI>display interface vlanif 10六、根据IP获取对应设备的MAC地址例如：根据IP地址：192.168.2.1获取对应的MAC地址<HUAWEI>display arp| include 192.168.2.1七、配置静态MAC地址将与设备相连的固定上行设备或信任的用户的MAC地址配置为静态MAC表项，可以保证安全通讯。

<HUAWEI>system-view[HUAWEI]vlan 10[HUAWEI-vlan10]quit[HUAWEI]interface GigabitEthernet 0/0/1[HUAWEI- GigabitEthernet0/0/1]port link-typa access[HUAWEI- GigabitEthernet0/0/1]port default vlan 10[HUAWEI- GigabitEthernet0/0/1]quit[HUAWEI]mac-address static 0000-0012-003FH gigabitethernet 0/0/1 vlan 10 //mac地址0000-0012-003FH和gigabitethernet 0/0/1静态绑定。

交换机上实施IP与MAC的双向绑定(IPSG实例)部门： xxx时间： xxx整理范文，仅供参考，可下载自行编辑在交换机上实施IP与 MAC的双向绑定说明：不能够在二层交换上做基于 IP的双向绑定，但可在三层交换机上完成SW1(config># interface FastEthernet0/1SW1(config-if># switchport mode accessSW1(config-if>#switchport port-securitySW1(config-if># switchport port-security violation restrict //shutdown protect restrict SW1(config-if># switchport port-security mac-address 00b0.6451.c920SW1(config-if># spanning-tree portfastSW1(config-if># ip access-group 11 in //调用ACLSW1(config-if># exitSW1(config># access-list 11 permit 192.168.2.69IPSG 实验配置步骤QQ截图20180514042234.jpg (18.5 KB>2018-5-14 04:22 SW(config># ipdhcp snoopingSW(config># ipdhcp snooping vlan 1,10SW(config># ipdhcp snooping verify mac-addressSW(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.5 interface f0/5SW(config># interface f0/1SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config># interface f0/5SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config-if># endb5E2RGbCAPQQ截图20180514042350.jpg (31.34 KB>2018-5-14 04:24一、配置 SW1的防护功能SW1(config># ipdhcp snooping //启用 DHCP Snooping SW1(config># ipdhcp snooping information option //启用82 选项SW1(config># ipdhcp snooping vlan 10,20 //DHCP监听作用的 VLANSW1(config># ipdhcp database flash:dhcp.db //将 DHCP绑定信息保存到dhcp.db中SW1(config># ipdhcp snooping verify mac-addressSW1(config># interface f0/21SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-securitySW1(config># interface f0/23SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-security可选配//SW1(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.1 interface f0/2可选配//SW1(config># ip source binding 0000.0000.0002 vlan 20 172.16.2.1 interface f0/1SW1(config># iparp inspection vlan 10,20 //ARP检测基于VLAN10 VLAN20SW1(config># iparp inspection validate src-mac dst-macip //基于源 MAC 目标 MAC和 IP//DHCP服务器的配置DHCP-SERVER 使用路由器来完成Router(config># ipdhcp pool vlan10 定义地址池Router(config-vlan># network 172.16.1.0255.255.255.0 定义地址池做用的网段及地址范围Router(config-vlan># default-router 172.16.1.254 定义客户端的默认网关Router(config-vlan># dns-server 218.108.248.200 定义客户端的dnsRouter(config-vlan>#exitRouter(config># ipdhcp pool vlan20Router(config-vlan># network 172.16.2.0 255.255.255.0 Router(config-vlan># default-router 172.16.2.254Router(config-vlan># dns-server 218.108.248.200Router(config-vlan># exitRouter(config># ipdhcp excluded-address 172.16.1.100172.16.1.254 //配置保留地址段Router(config># ipdhcp excluded-address 172.16.2.100172.16.2.254Router(config># interface e0/0Router(config-if># ip address 172.16.3.1 255.255.255.0 Router(config-if># no shutdown交换机上的配置SW1(config># interface vlan 10SW1(config-if># ip address 172.16.1.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1 //以单播向DHCP-SERVER发送请求SW1(config-if># interface vlan20SW1(config-if># ip address 172.16.2.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1p1EanqFDPw申明：所有资料为本人收集整理，仅限个人学习使用，勿做商业用途。

配置通过IPSG功能对IP报文的接口+IP+MAC信息进行匹配检查示例组网需求如图1所示，HostA与HostB分别与Switch的GE0/0/1和GE0/0/2接口相连。

要求使HostB 不能仿冒HostA的IP和MAC欺骗Server，保证HostA的IP报文能正常上送。

图1 配置IPSG组网图配置思路采用如下的思路在Switch上配置IPSG功能（假设用户的IP地址是静态分配的）：1. 接口使能IP报文检查功能。

连接HostA和HostB的接口都需要使能该功能。

2. 配置静态绑定表，对于静态配置IP的用户建立绑定关系表。

说明：以下配置步骤中，只列出了和IP Source Guard配置相关的命令。

操作步骤1. 配置IP报文检查功能# 在连接HostA的GE0/0/1接口使能IP报文检查功能。

<HUAWEI> system-view[HUAWEI] sysname Switch[Switch] interface gigabitethernet 0/0/1[Switch-GigabitEthernet0/0/1] ip source check user-bind enable# 在连接HostA的GE0/0/1接口使能IP报文检查告警功能并配置告警阈值。

[Switch-GigabitEthernet0/0/1] ip source check user-bind alarm enable[Switch-GigabitEthernet0/0/1] ip source check user-bind alarm threshold 200 [Switch-GigabitEthernet0/0/1] quit# 在连接HostB的GE0/0/2接口使能IP报文检查功能。

[Switch] interface gigabitethernet 0/0/2[Switch-GigabitEthernet0/0/2] ip source check user-bind enable# 在连接HostB的GE0/0/2接口使能IP报文检查告警功能并配置告警阈值。

华为三层交换机绑定IP和MAC地址基础命令//本⽂档主要介绍交换机地址绑定基本流程和⽤到的命令；//不记得命令可以输⼊？查看，或在⼀段命令中⽤‘TAB’键进⾏命令补全：如”user-b s mac-a 'TAB' //此处，将⾃动补全命令为user-b s mac-address；终端上telnet #交换机位置；输⼊登录ID和密码；su //进⼊ROOT权限；输⼊⼆级密码；dis mc-address #mac地址； //查看⽬标MAC地址与交换机对应情况{如回显GE /0/0/X 说明和交换机的x号端⼝相对应；如回显XGE /0/0/x 说明交换机和所在终端不是直通状态；如没有回显说明MAC地址错误或终端在关机状态；}#绑定地址需要确认端⼝开启了 anti attack 服务{输⼊命令：dis cur | beg #端⼝号；可以看到端⼝回显信息，也可以查询是否开启了 anti-attack ；如果条⽬不存在，输⼊以下命令；{integration ;are Anti-attack check user-bind enable; //开启 anti-attackdis cur | beg ; //再次查看端⼝信息确认}#确认服务开启后sys //进⼊配置界⾯；#如需要输出之前的绑定，可以输⼊undo user-b s ip-address #ip地址； //可以连带删除端⼝，MAC地址绑定，也可以输出mac-address #mac地址user-b s ip-address #ip地址 mac-address #mac地址； //指定ip地址和mac地址绑定，绑定类型可以端⼝，ip,mac⾃由组合quit； //退出配置界⾯save；保存设置。

谈谈IP、MAC与交换机端口绑定的方法2010-8-6 7:51:52 本站原创佚名【字体：大中小】{SQL_我要评论()}信息安全管理者都希望在发生安全事件时，不仅可以定位到计算机，而且定位到使用者的实际位置，利用MAC与IP的绑定是常用的方式，IP地址是计算机的“姓名”，网络连接时都使用这个名字；MAC地址则是计算机网卡的“身份证号”，不会有相同的，因为在厂家生产时就确定了它的编号。

IP地址的修改是方便的，也有很多工具软件，可以方便地修改MAC地址，“身份冒充”相对容易，网络就不安全了。

遵从“花瓶模型”信任体系的思路，对用户进行身份鉴别，大多数人采用基于802.1x协议的身份认证技术(还可以基于应用的身份认证、也可以是基于Cisco 的EOU技术的身份认证)，目的就是实现用户账号、IP、MAC的绑定，从计算机的确认到人的确认。

身份认证模式是通过计算机内安全客户端软件，完成登录网络的身份鉴别过程，MAC地址也是通过客户端软件送给认证服务器的，具体的过程这里就不多说了。

一、问题的提出与要求有了802.1x的身份认证，解决的MAC绑定的问题，但还是不能定位用户计算机的物理位置，因为计算机接入在哪台交换机的第几个端口上，还是不知道，用户计算机改变了物理位置，管理者只能通过其他网管系统逐层排查。

那么，能否可以把交换机端口与IP、MAC一起绑定呢？这样计算机的物理位置就确定了。

首先这是有关安全标准的要求：1)重要安全网络中，要求终端安全要实现MAC\IP\交换机端口的绑定2)有关专用网络中，要求未使用的交换机端口要处于关闭状态(未授权前不打开)其次，实现交换机端口绑定的目标是：∙∙防止外来的、未授权的计算机接入网络(访问网络资源)∙∙当有计算机接入网络时，安全监控系统能够立即发现该计算机的MAC与IP，以及接入的交换机端口信息，并做出身份验证，属于未授权的能够报警或终止计算机的继续接入，或者禁止它访问到网络的任何资源∙∙当有安全事件时，可以根据用户绑定的信息，定位到机器(MAC与IP)、定位到物理位置(交换机端口)、定位到人(用户账号、姓名、电话…)二、实现交换机端口信息绑定的策略根据接入交换机的安全策略，可以把端口信息绑定分为两种方式：静态方式与动态方式1、静态方式：固定计算机的位置，只能在预先配置好的交换机端口接入，未配置(授权申请)的不能接入网络。

华为交换机绑定IP和MAC地址IPSG（IP和MAC绑定）配置功能介绍：IPSG可以防⽌恶意主机伪造合法主机的IP地址仿冒合法主机来访问⽹络或攻击⽹络它是利⽤交换机上的绑定表过滤⾮法主机发送的报⽂，以阻⽌⾮法主机访问⽹络或者攻击⽹络绑定表分为静态绑定表和DHCP Snooping动态绑定表静态绑定表：通过user-bind命令⼿⼯配置。

该⽅法使⽤于局域⽹络中主机数较少，且主机使⽤静态配置Ip地址的⽹络环境DHCP Snooping动态绑定表：配置DHCP Snooping功能后，DHCP主机动态获取IP地址时，设备根据DHCP服务器发送的DHCP回复报⽂动态⽣成。

该⽅式适⽤于局域⽹络中主机较多，且主机使⽤DHCP动态获取Ip地址的⽹络环境下⾯来看静态配置⽰例：需求：1、某公司员⼯通过交换机连接⽹络，研发⼈员ip地址为10.0.0.1，⼈⼒资源员⼯ip地址为10.0.0.11，设备上配置ACL，只允许⼈⼒资源员⼯10.0.0.11可以访问internet2、在⼈⼒资源员⼯出差关机的情况下，研发员⼯也不能通过私⾃将ip地址更改为10.0.0.11访问internet配置思路：1、在switch上创建研发员⼯和⼈⼒资源员⼯的绑定表2、在Switch的GE0/0/1和GE0/0/2接⼝下使能IPSG检查功能操作步骤：system-view //进⼊系统视图user-bind static ip-address 10.0.0.1 mac 0000-0000-0001 //创建研发⼈员绑定表项user-bind static ip-address 10.0.0.11 mac 0000-0000-0002 //创建⼈⼒资源员⼯的绑定表项interface g0/0/1 //进⼊GE0/0/1接⼝视图ip source check user-bind enable //使能GE0/0/1接⼝的IPSG检查功能interface g0/0/2 //进⼊GE0/0/2接⼝视图ip source check user-bind enable //使能GE0/0/2接⼝的IPSG检查功能动态配置⽰例：需求：公司某部门员⼯IP地址均通过DHCP⽅式获取，通过部署IPSG实现员⼯只能使⽤DHCP Server分配的IP地址，不允许私⾃配置静态IP地址，如果私⾃制定IP地址将⽆法访问⽹络配置思路1、在switch上配置DHCP Snooping功能，⽣成DHCP snooping 动态绑定表2、在switch连接员⼯主机的vlan10上使能IPSG功能跳过dhcp配置，假设pc 通过DHCP⽅式动态获取到IP地址system-view //进⼊系统视图dhcp enable //全局使能DHCP功能dhcp snooping //全局使能DHCP Snooping 功能vlan10 // 进⼊vlan10视图dhcp Snooping enable //在vlan视图下使能DHCP Snooping功能dhcp Snooping trusted interface g0/0/3 //将连接DHCP server的g0/0/3接⼝配置为信任接⼝ip source check user-bind enable //基于vlan使能IPSG检查功能。

H3C交换机1、system-view 进入系统视图模式2、sysname为设备命名3、display current-configuration 当前配置情况4、Ianguage-mode Chinese|English中英文切换5、进入以太网端口视图6、port link-type Access|Trunk|Hybrid 设置端口访问模式7、undo shutdown 打开以太网端口8、shutdown 关闭以太网端口9、quit 退出当前视图模式10、vlan 10创建VLAN 10并进入VLAN 10的视图模式11、port access vlan 10在端口模式下将当前端口加入到vlan 10中12、在VLAN模式下将指定端口加入到当前vlan中13、port trunk permit vlan all 允许所有的vlan 通过H3C路由器ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff Il II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II IIf* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f*Il II II II II II II II II II II II II II II II II1、system-view 进入系统视图模式2、sysname R1为设备命名为R13、display ip routing-table 显示当前路由表4、Ianguage-mode Chinese|English中英文切换5、进入以太网端口视图6、i p address配置IP地址和子网掩码7、u ndo shutdown 打开以太网端口8、s hutdown 关闭以太网端口9、q uit 退出当前视图模式10、ip route-staticdescription 配置静态路由11、ip route-staticdescription 配置默认的路由H3C S3100 SwitchH3C S3600 SwitchH3C MSR 20-20 Routerf* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II II IIf* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f* f*Il II II II II II II II II II II II II II II II II II II II II II II II II1、调整超级终端的显示字号；2、捕获超级终端操作命令行，以备日后查对；3、I anguage-mode Chinese|English中英文切换；4、复制命令到超级终端命令行，粘贴到主机；5、交换机清除配置:<H3C>reset save；<H3C>reboot；6、路由器、交换机配置时不能掉电，连通测试前一定要检查网络的连通性，不要犯最低级的错误。

交换机远程登录管理操作步骤①单击“开始－＞运行－＞cmd－＞telnet 10.10.68.……－＞输入密码”；②输入正确密码后登录交换机，输入“en”回车，再次输入密码进入超级管理模式；③绑定Mac地址命令为：#conf ter#Int fa0/18#shutdown …………………………关闭端口#switch mode access#switch access vl 1#switch port-security#switch port-security maximum 2 ……端口所绑定的Mac地址数量#switch port-security violation shutdown#switch port-security mac-address 0010.dcef.0c98#switch port-security mac-address 0110.0e3c.567d#no shutdown ……………………………开启端口命令#end …………………………………………结束命令，返回上一级目录#wr …………………………………………为保存配置③查看交换机所有端口状态“show int status”继续往下查看继续按回车键；Disabled为关闭状态Connected为连接状态，交换机显示为亮灯Notconnect为没有连接状态，交换机灯灭Err-disabled为出错关闭状态，可能为mac地址错误交换机自动关闭端口④重新开启端口命令为：进入某端口命令为“conf terInt fa0/1ShutdownNo shutdownEndWr”⑤然后输入“exit”退出即可。

⑥根据已知Mac地址，查看交换机某个端口show Mac-address-table | in 00e0.4c3c.9c83⑦查看某个端口的Mac地址：sh mac-address-table int fa0/8查看网络arp攻击：登陆主干交换机10.10.68.1 然后输入show proc cpu | e 0.00已知mac地址查看交换机端口号：show mac-address-table | in mac地址show mac-address-table add mac地址已知mac地址或者ip 查对应的ip或者mac地址：登陆主干交换机show arp | in mac地址(ip)。

绑定客户端IP+MAC+端口[Huawei]user-bind static ip-address 192.168.2.2 mac-address 5489-9852-137A interface GigabitEthernet 0/0/2[Huawei]user-bind static mac-address 6489-98CF-1525 interface g0/0/1系统视图下am user-bind mac-addr mac地址ip-addr ip地址interface 接口类型接口序号以太网端口视图下interface 接口类型接口序号am user-bind mac-addr mac地址ip-addr ip地址华为s5700 ip地址+mac地址+端口绑定问：将单位的交换机绑定ip地址，mac地址和端口，实现某台ip为172.16.3.113，mac地址为000B-2F37-FE4F只能通过GigabitEthernet0/0/2这个端口来上网或查看局域网内的共享文件。

答：一般用am user-bind做。

am user-bind ip-address 172.16.3.113 mac-address 000B-2F37-FE4F interface GigabitEthernet0/0/2首先要有思想准备，工作量巨大。

答：用完后可以到所在VLAN或者端口执行：ip source check user-bind enable一、1、系统视图下am user-bind mac-addr mac地址 ip-addr ip地址 interface 接口类型接口序号2、以太网端口视图下interface 接口类型接口序号am user-bind mac-addr mac地址 ip-addr ip地址二、端口绑定2.1 端口绑定命令2.1.1 am user-bind interface【命令】am user-bind mac-addr mac-address ip-addr ip-address interfaceinterface-type interface-numberundo am user-bind mac-addr mac-address ip-addr ip-address interfaceinterface-type interface-number【视图】系统视图【参数】mac-address：绑定的MAC 地址值。

实验九 交换机MAC与IP的绑定(MAC地址、IP地址与端口)一、实验目的1. 了解什么情况下需要MAC与IP绑定；2. 了解如何在接入交换机上配置MAC与IP的绑定。

二、应用环境学校机房或者网吧等需要固定IP地址上网的场所，为了防止用户任意修改IP 地址，造成IP地址冲突，可以使用MAC与IP绑定技术。

将MAC、IP和端口绑定在一起，使用户不能随便修改IP地址，不能随便更改接入端口，从而使内部网络从管理上更加完善。

使用交换机的AM功能可以做到MAC和IP的绑定，AM全称为Access Management，访问管理，它利用上到数据报文的消息，譬如源IP地址和源MAC，与配置硬件地址池相比，如果找到则转发，否则丢弃。

三、实验设备及材料1.DCS-3926S交换机1台2.PC机2台3.Console线1根4.直通网线2根四、实验拓扑图五、实验内容与要求1.交换机IP地址为192.168.10.1/24，PC1的地址为192.168.10.201/24；PC2的地址为192.168.10.202/24；2.在交换机0/0/15端口上作PC1的IP、MAC与端口绑定；3.在交换机0/0/19端口上作PC2的IP、MAC与端口绑定。

4.PC1在交换机0/0/15上ping交换机IP，检验理论是否和实验一致;5.PC2在交换机0/0/19上ping交换机IP，检验理论是否和实验一致。

6.PC1和PC2在其他端口上Ping交换机的IP，检验理论是否和实验一致。

六、实验步骤第一步：得到PC1机的MAC地址：在DOS下面输入：ipconfig /all图9-1 PC1的MAC地址我们得到了PC1的MAC地址为：10-E0-8C-50-0C-D1第二步：交换机全部恢复出厂设置：图9-2 交换机恢复出厂默认值第三步：给交换机设置IP地址即管理IP：图9-3 设置交换机的IP地址第四步：使用AM功能（绑定PC1与绑定PC2）图9-4 使用AM功能绑定MAC地址、IP地址与端口第五步：查看（显示）AM绑定结果图9-5 验证AM绑定结果第六步：使用Ping命令来验证结果PC机 所接端口 Ping交换机 结果原因 PC1 0/0/15 192.168.10.1 通PC1 0/0/19 192.168.10.1 不通PC2 0/0/15 192.168.10.1 不通PC2 0/0/19 192.168.10.1 通PC1 0/0/21192.168.10.1不通PC2 0/0/21192.168.10.1不通思考：解释上面Ping命令测试结果形成的原因？七、注意事项及排错1.AM的默认动作是：拒绝通过（deny），当AM使能的时候，AM模块会拒绝所有的IP报文通过（只允许IP地址池内的成员源地址通过），AM禁止的时候，AM会删除所有的地址池。