神州数码交换机MAC与IP的绑定

神州数码交换机配置命令交换机基本状态：hostname> ；用户模式hostname# ；特权模式hostname(config)# ；全局配置模式hostname(config-if)# ；接口状态交换机口令设置：switch>enable ；进入特权模式switch#config terminal ；进入全局配置模式switch(config)#hostname ；设置交换机的主机名switch(config)#enable secret xxx ；设置特权加密口令switch(config)#enable password xxa ；设置特权非密口令switch(config)#line console 0 ；进入控制台口switch(config-line)#line vty 0 4 ；进入虚拟终端switch(config-line)#login ；允许登录switch(config-line)#password xx ；设置登录口令xxswitch#exit ；返回命令交换机VLAN设置：switch#vlan database ；进入VLAN设置switch(vlan)#vlan 2 ；建VLAN 2switch(vlan)#no vlan 2 ；删vlan 2switch(config)#int f0/1 ；进入端口1switch(config-if)#switchport access vlan 2 ；当前端口加入vlan 2switch(config-if)#switchport mode trunk ；设置为干线switch(config-if)#switchport trunk allowed vlan 1，2 ；设置允许的vlan switch(config-if)#switchport trunk encap dot1q ；设置vlan 中继switch(config)#vtp domain ；设置发vtp域名switch(config)#vtp password ；设置发vtp密码switch(config)#vtp mode server ；设置发vtp模式switch(config)#vtp mode client ；设置发vtp模式交换机设置IP地址：switch(config)#interface vlan 1 ；进入vlan 1switch(config-if)#ip address ；设置IP地址switch(config)#ip default-gateway ；设置默认网关switch#dir Flash: ；查看闪存交换机显示命令：switch#write ；保存配置信息switch#show vtp ；查看vtp配置信息switch#show run ；查看当前配置信息switch#show vlan ；查看vlan配置信息switch#show interface ；查看端口信息switch#show int f0/0 ；查看指定端口信息完了最最要的一步。

MAC地址绑定与IP绑定区别讲解在网络通信中，MAC地址绑定和IP地址绑定是两种常见的安全措施。

它们都是限制特定设备的访问权限，提高网络的安全性。

然而，它们之间存在一些区别。

本文将详细讲解MAC地址绑定与IP地址绑定的区别，并探讨它们各自的优劣势。

一、MAC地址绑定MAC地址（Media Access Control Address）是设备的物理地址，通常由设备的网卡厂商预先分配。

每个网络设备都拥有唯一的MAC地址，用于在局域网中进行数据通信。

MAC地址绑定是一种通过识别MAC地址来控制访问的方式。

1.1 原理MAC地址绑定基于一个简单的原理，即只有经过认证的MAC地址才能够通过网络设备进行通信。

网络管理员将特定设备的MAC地址与网络访问策略进行绑定，该设备在网络上的通信可以顺利进行。

非授权的设备将被阻止访问网络。

1.2 优势MAC地址绑定具有以下优势：（1）安全性高：由于MAC地址是设备的物理地址，无法被更改，因此MAC地址绑定提供了较高的安全性。

（2）易于配置：网络管理员可以通过简单的配置过程将MAC地址与网络绑定，不需要额外的设备或软件支持。

（3）不受IP地址变化的影响：即使IP地址发生变化，通过MAC地址绑定的设备仍然可以顺利访问网络。

1.3 缺点MAC地址绑定存在一些缺点：（1）繁琐的管理：对于大型网络而言，管理维护所有设备的MAC地址绑定是一项繁重的任务。

（2）无法在不同网络间漫游：由于MAC地址是局限在本地网络中，当设备从一个网络漫游到另一个网络时，需要重新进行MAC地址绑定。

二、IP地址绑定IP地址（Internet Protocol Address）是设备在网络上的标识，用于在广域网中进行数据通信。

IP地址绑定是一种通过识别IP地址来控制访问的方式。

2.1 原理IP地址绑定的原理是限制只有特定的IP地址才能够访问网络。

网络管理员将指定的IP地址与网络访问策略进行绑定，只有使用这些IP地址的设备可以顺利进行通信，其他设备将被拒绝访问。

在插件管理中选择MAC地址过滤模块，点击配置按钮进入<MAC地址过滤配置>。

在过滤列表中点击鼠标右键，选择<导入地址>菜单，该模块将自动从主程序中将对应的MAC-IP地址导入，用户只要选择左边的绑定选择框对他们进行绑定即可。

如果您想禁止不在列表中的MAC上网，请选择缺省MAC地址过滤策略为"拦截"
注意：请不要对路由器等MAC-IP地址转换设备进行绑定
Active Wall 网关过滤软件是以IP地址为依据鉴别局域网用户，因此Active Wall能支持跨网段管理。

在管理单一网段的情况下，为防止用户随意更改IP地址，建议启用MAC-IP绑定功能。

在管理多个网段的情况下，由于MAC地址无法和IP地址一一对应，请不要绑定MAC-IP地址。

另外：如果您的网络采用了DHCP服务器自动分配IP地址，请在DHCP服务器中为每个MAC地址指定固定的IP地址，再启用MAC-IP绑定。

交换机端口绑定ip和mac地址IP地址绑定『配置环境参数』用户的IP地址10.1.1.2，MAC地址0000-0000-0001『组网需求』对合法的用户进行ip＋mac＋端口的绑定，防止恶意用户通过更换自己的地址上网的行为。

2数据配置步骤『IP+MAC+端口绑定流程』三层交换机中目前只有S3526系列支持使用AM命令来进行IP地址和端口的绑定。

并且如果S3526系列交换机要采用AM命令来实现绑定功能，则交换机必须是做三层转发（即用户的网关应该在该交换机上）。

【采用DHCP-SECURITY来实现】1.配置端口的静态MAC地址[SwitchA]mac-address static 0000-0000-0001 interface e0/1 vlan 12.配置IP和MAC对应表[SwitchA]dhcp-security 10.1.1.2 0000-0000-0001 static3.配置dhcp-server组号(否则不允许执行下一步，此dhcp-server组不用在交换机上创建也可) [SwitchA-Vlan-interface1]dhcp-server 14.使能三层地址检测[SwitchA-Vlan-interface1]address-check enable【采用AM命令来实现】1.使能AM功能[SwitchA]am enable2.进入端口视图[SwitchA]vlan 103.将E0/1加入到vlan10[SwitchA-vlan10]port Ethernet 0/14.创建（进入）vlan10的虚接口[SwitchA]interface Vlan-interface 105.给vlan10的虚接口配置IP地址[SwitchA-Vlan-interface10]ip add 10.1.1.1 255.255.255.06.进入E0/1端口[SwitchA]interface Ethernet 0/17.该端口只允许起始IP地址为10.1.1.2的10个IP地址上网[SwitchA-Ethernet0/1]am ip-pool 10.1.1.2 10通过ACL实现的各种绑定的配置1功能需求及组网说明各种绑定的配置『配置环境参数』1.三层交换机SwitchA有两个端口ethetnet 0/1、ethernet 0/2分别属于vlan 1、vlan 22.vlan 1、vlan 2的三层接口地址分别是1.0.0.1/8、2.0.0.1/8，上行口G 1/1是trunk端口，并允许vlan 3 通过『组网需求』1.静态mac、端口捆绑：端口ethetnet 0/1仅仅允许pc1（mac：0.0.1）接入。

H3C华为交换机端口绑定基本配置1，端口+MACa)AM命令使用特殊的AM User-bind命令，来完成MAC地址与端口之间的绑定。

例如：[SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1配置说明：由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他未绑定的MAC地址的PC机则无法上网。

但是PC1使用该MAC地址可以在其他端口上网。

b)mac-address命令使用mac-address static命令，来完成MAC地址与端口之间的绑定。

例如：[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1[SwitchA]mac-address max-mac-count 0配置说明：由于使用了端口学习功能，故静态绑定mac后，需再设置该端口mac 学习数为0，使其他PC接入此端口后其mac地址无法被学习。

2，IP+MACa)AM命令使用特殊的AM User-bind命令，来完成IP地址与MAC地址之间的绑定。

例如：[SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定，即与绑定的IP地址或者MAC地址不同的PC机，在任何端口都无法上网。

支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gb)arp命令使用特殊的arp static命令，来完成IP地址与MAC地址之间的绑定。

例如：[SwitchA]arp static 10.1.1.2 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定。

神州数码交换机端口绑定以神州数码DCS-3950进行端口绑定端口绑定的重要性就不再多说了，避免电脑随意接入交换机一、仅MAC与端口绑定（通过Port-Security）DCS-3950-26C#confDCS-3950-26C(config)#int e0/0/1 --端口绑定需要进入到接口内部，仅对当前口生效DCS-3950-26C(config-if-ethernet0/0/1)#switchport port-security --开启端口安全模式DCS-3950-26C(config-if-ethernet0/0/1)#switchport port-security mac-address aa-22-33-44-55-66 --对aa-22-33-44-55-66与端口1进行绑定DCS-3950-26C(config-if-ethernet0/0/1)#测试现象，当aa-22-33-44-55-66这台电脑连接到端口1时，可以正常工作，连接到其他端口时，交换机不为其转发数据帧，网络不通；当其他MAC地址连入交换机时，插入到包括1在内的任意端口，都可以正常工作，交换机都为其转发。

端口安全缺省一个端口只能配置一个条目，如需配置多个条目，需要进行如下设置DCS-3950-26C(config-if-ethernet0/0/1)#switchport port-security maximum ?<1-128> Maximum addrs <1-128>输入所需的数目即可。

另外，port-security还可以动态学习，然后锁定，再转化，动态绑定DCS-3950-26C(config-if-ethernet0/0/1)#switchport port-security lockDCS-3950-26C(config-if-ethernet0/0/1)#switchport port-security convert锁定之后，交换机不再学习从这个端口新接入的MAC结论：被绑定的MAC地址只能工作在绑定的端口上；没有绑定的MAC地址可以工作在任意端口上。

交换机上实施IP与MAC的双向绑定(IPSG实例)部门： xxx时间： xxx整理范文，仅供参考，可下载自行编辑在交换机上实施IP与 MAC的双向绑定说明：不能够在二层交换上做基于 IP的双向绑定，但可在三层交换机上完成SW1(config># interface FastEthernet0/1SW1(config-if># switchport mode accessSW1(config-if>#switchport port-securitySW1(config-if># switchport port-security violation restrict //shutdown protect restrict SW1(config-if># switchport port-security mac-address 00b0.6451.c920SW1(config-if># spanning-tree portfastSW1(config-if># ip access-group 11 in //调用ACLSW1(config-if># exitSW1(config># access-list 11 permit 192.168.2.69IPSG 实验配置步骤QQ截图20180514042234.jpg (18.5 KB>2018-5-14 04:22 SW(config># ipdhcp snoopingSW(config># ipdhcp snooping vlan 1,10SW(config># ipdhcp snooping verify mac-addressSW(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.5 interface f0/5SW(config># interface f0/1SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config># interface f0/5SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config-if># endb5E2RGbCAPQQ截图20180514042350.jpg (31.34 KB>2018-5-14 04:24一、配置 SW1的防护功能SW1(config># ipdhcp snooping //启用 DHCP Snooping SW1(config># ipdhcp snooping information option //启用82 选项SW1(config># ipdhcp snooping vlan 10,20 //DHCP监听作用的 VLANSW1(config># ipdhcp database flash:dhcp.db //将 DHCP绑定信息保存到dhcp.db中SW1(config># ipdhcp snooping verify mac-addressSW1(config># interface f0/21SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-securitySW1(config># interface f0/23SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-security可选配//SW1(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.1 interface f0/2可选配//SW1(config># ip source binding 0000.0000.0002 vlan 20 172.16.2.1 interface f0/1SW1(config># iparp inspection vlan 10,20 //ARP检测基于VLAN10 VLAN20SW1(config># iparp inspection validate src-mac dst-macip //基于源 MAC 目标 MAC和 IP//DHCP服务器的配置DHCP-SERVER 使用路由器来完成Router(config># ipdhcp pool vlan10 定义地址池Router(config-vlan># network 172.16.1.0255.255.255.0 定义地址池做用的网段及地址范围Router(config-vlan># default-router 172.16.1.254 定义客户端的默认网关Router(config-vlan># dns-server 218.108.248.200 定义客户端的dnsRouter(config-vlan>#exitRouter(config># ipdhcp pool vlan20Router(config-vlan># network 172.16.2.0 255.255.255.0 Router(config-vlan># default-router 172.16.2.254Router(config-vlan># dns-server 218.108.248.200Router(config-vlan># exitRouter(config># ipdhcp excluded-address 172.16.1.100172.16.1.254 //配置保留地址段Router(config># ipdhcp excluded-address 172.16.2.100172.16.2.254Router(config># interface e0/0Router(config-if># ip address 172.16.3.1 255.255.255.0 Router(config-if># no shutdown交换机上的配置SW1(config># interface vlan 10SW1(config-if># ip address 172.16.1.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1 //以单播向DHCP-SERVER发送请求SW1(config-if># interface vlan20SW1(config-if># ip address 172.16.2.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1p1EanqFDPw申明：所有资料为本人收集整理，仅限个人学习使用，勿做商业用途。

ip与mac地址的绑定命令ARP -s 192.168.0.2 00-EO-4C-6C-08-75这样，就将你上网的静态IP地址192.168.0.4与网卡地址为00-EO-4C-6C-08-75的计算机绑定在一起了。

怎样用命令把IP地址与MAC地址绑定CISCO交换机或路由器上绑定IP和网卡的硬件地址网卡的MAC地址通常是惟一确定的，在路由器中建立一个IP地址与MAC地址的对应表，只有“IP-MAC地址相对应的合法注册机器才能得到正确的ARP应答，来控制IP-MAC不匹配的主机与外界通讯，达到防止IP地址的盗用。

比如局域网某一用户的IP地址为：202.196.191.190，MAC地址为：0010.40bc.b54e，在Cisco 的路由器或交换机的路由模块上使用命令：router(config)# arp 202.196.191.190 0010.40bc.b54e arpa把该IP地址与MAC地址进行绑定，若有人盗用该IP地址，因其MAC地址的唯一性，使得IP地址与MAC地址不匹配而盗用失败．对于哪些未分配的IP地址，我们可以为其绑定一个MAC地址,比如，0000.0000.0000，使其不被盗用．比如：202.196.190.119未被使用，通过以下命令把其绑定起来．router(config)# arp 202.196.191.190 0000.0000.0000 arpa总结：通过使用MAC地址和IP地址可以有效的防止IP地址被盗用的情况，虽然在前期收集用户MAC地址的时候比较麻烦，但是建立这样的机制能够为用户在管理网络时带来很多的方便。

所以，我们在构建网络的初期就应该将局域网内机器的MAC地址信息收集起来，为我们今后的网络管理工作带来便利！如果是Windows 98/Me，则运行“winipcfg”，在对话框看的IP地址就是，而“适配器地址”就是网卡的MAC地址。

而如果是Windows 2000/XP系统，则要在命令提示符下输入“ipconfig /all”。

１、IP与MAC绑定的难题问：我的计算机原来采用公网固定IP地址。

为了避免被他人盗用，使用“arp -s ip mac”命令对MAC地址和IP地址进行了绑定。

后来，由于某种原因，又使用“arp -d ip mac”命令取消了绑定。

然而，奇怪的是，取消绑定后，在其他计算机上仍然不能使用该IP地址，而只能在我自己的计算机上使用。

需要说明的是，我的计算机并不是代理服务器。

答：虽然在TCP/IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。

IP地址只是被用于查询欲通讯的目的计算机的MAC地址。

ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。

在计算机的ARP 缓存中包含一个或多个表，用于存储 IP 地址及其经过解析的以太网MAC地址。

一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。

所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。

另外，需要注意的是，通过“-s”参数添加的项属于静态项，不会造成ARP缓存超时。

只有终止TCP/IP协议后再启动，这些项才会被删除。

所以，即使你取消了绑定，在短时间内其他计算机将仍然认为你采用的是原有IP地址。

在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址将数据发送至目的计算机。

当绑定IP与MAC地址后，只要与交换机通讯过，交换机就会记录下该MAC地址。

这样一来，即使后面有人使用了相同的IP地址，将依然不能与网关通讯，更连不通外面了，除非重新启动交换机、清除MAC表，或者MAC地址表超过了指定的老化时间。

２、网络经常瘫痪是为何问：网吧有70多台计算机，网络每天都会瘫痪一到三次。

通常情况下，只需将一级交换机的网线全部拔出后再连上，即可恢复正常，而有时则不得不重启一下交换机。

把原来的10Mbps的网卡更换为10/100Mbps网卡后，有近一个星期的时间网络没有瘫痪。