交换机上IP与mac绑定方法
NETGEAR智能网管交换机如何实现IP与MAC地址绑定功能
NETGEAR智能网管交换机如何实现IP与MAC地址绑定功能NETGEAR智能网管交换机是一款功能强大的网络设备，支持多种高级网络管理功能，其中包括IP与MAC地址绑定功能。
这个功能可以帮助网络管理员更好地管理网络设备，并提高网络的安全性。
下面将详细介绍NETGEAR智能网管交换机如何实现IP与MAC地址绑定功能，并提供相关操作步骤。
IP与MAC地址绑定是指将特定的IP地址与MAC地址绑定在一起，仅允许该MAC地址对应的设备使用该IP地址进行通信。
这样可以防止未经授权的设备接入网络，并提高网络的安全性。
以下是在NETGEAR智能网管交换机上实现IP与MAC地址绑定功能的步骤：1.连接到交换机：将计算机连接到NETGEAR智能网管交换机的一个可用端口上。
可以使用网线将计算机的网卡与交换机的一些端口直接连接，或通过路由器等设备间接连接。
2.登录交换机：使用计算机上的浏览器打开一个新的页面，并输入交换机的默认IP地址（通常为192.168.0.1或192.168.1.1）进入交换机的管理界面。
输入管理账号和密码进行登录。
3. 导航到静态ARP页面：在交换机的管理界面中，导航到"IP Configuration"或"Network Configuration"等相关菜单，然后点击“Static ARP”或“Static ARP Table”选项。
4. 添加静态ARP表项：在静态ARP页面中，点击“Add”或“New”按钮，可以添加一个新的静态ARP表项。
在弹出的表单中，输入目标IP 地址和相应的MAC地址，并点击“Apply”或“Save”按钮保存更改。
5. 删除静态ARP表项：如果需要删除一个静态ARP表项，可以在静态ARP页面中选择该条目，并点击“Delete”或“Remove”按钮进行删除操作。
请注意，删除静态ARP表项后，相关的IP与MAC地址绑定将被取消。
三种方法 教会你如何设置IP-MAC绑定
网络管理中，网管们是不是经常碰到IP地址冲突和盗用的情况?对此的回答无疑是肯定的。
IP地址冲突和盗用影响了网络的正常使用，如果被盗用的地址具有较高的权限，必将造成了大量的损失和潜在的安全隐患。
对此有没有一种好的解决方案呢?以下是一些网管朋友的实践经验，供大家参考。
方法一先点击“开始”选择“运行”，然后在里面输入Winipcfg命令，这就可以查出自己的网卡地址;记录后再到代理服务器端把上网的静态IP地址与所记录计算机的网卡地址进行捆绑，具体命令是：ARP -s192.168.0.4 00-EO-4C-6C-08-75这样，就将您上网的静态IP地址192.168.0.4与网卡地址为00 -EO-4C-6C-08-75的计算机绑定在一起了。
即使别人盗用此IP地址192.168.0.4，也无法通过代理服务器上网。
其中应注意的是此项命令仅在局域网中上网的代理服务器端有用，还要是静态IP地址，像一般的 Modem拨号上网是动态IP地址就不起作用。
方法二对于动态分配IP，做一个DHCP服务器来绑定用户网卡MAC地址和IP地址，然后再根据不同IP设定权限。
对于静态IP，如果用三层交换机的话，你可以在交换机的每个端口上做IP地址的限定，如果有人改了自己的IP地址，那么他的网络就不通了。
这俩个方法都是基于硬件设备的，对于单个或者几台电脑来说，设置起来并不是很复杂，只要有足够的时间和耐心，肯定可以进行绑定。
但对于整个公司有百来台设备来说，无疑将是一种负担。
另外，还有一种情况，是网管下面的人员为了逃避管理或是其他目的而自己随意IP，甚至会有不法员工泄露公司机密，这比被别人盗用IP更加可怕!网管事先可能感性的认为不会有此类情况，所以只绑定了部分电脑，那一旦出现机密泄露事件，我想损失的应该不只是网管的饭碗吧。
所以笔者认为聚生网管的软件方案是一个既简单有灵活的最佳方法。
方法三打开聚生网管的监控界面，如下图在左侧第四项“网络安全管理”选项中，就是可设置IP-MAC绑定，如下图仔细看下面的勾红，还可以设置自动发现新主机并进行绑定。
最新整理华为交换机怎么绑定绑定ip地址和mac地址
华为交换机怎么绑定绑定i p地址和m a c地址交换机除了能够连接同种类型的网络之外，还可以在不同类型的网络(如以太网和快速以太网)之间起到互连作用。
华为交换机怎么绑定绑定i p地址/M A C地址?主要是预防I P地址被盗用等网络安全威胁的问题，该怎么设置绑定呢?下面我们就来看看详细的设置教程，需要的朋友可以参考下具体步骤1、打开模拟器，创建一台交换机和两台P C、开机，配置好I P地址，一台P C备用。
2、交换机配置V l a n，把端口模式改为A c c e s s模式，把端口加入到V l a n100里，测试P C到交换机网通信是否正常。
当前没有路由器网管配置或不配置没有关系。
能p i n g通交换机。
3、接下来做绑定配置，在G i g a b i t E t h e r n e t0/0/1端口上绑定当前P C的I P和M A C地址，V l a n。
命令格式：在配置模式下，[H u a w e i] u s e r-b i n d s t a t i c i p a d d r e s s x.x.x.x m a c a d d r e s s x x x x-x x x x-x x x x i n t e r f a c eG i g a b i t E t h e r n e t0/0/1v l a n I D。
4、下一步绑定完了之后，我们再连接另一台备用的P C到交换机 i n t e r f a c e G i g a b i t E t h e r n e t0/0/1端口上。
5、换了另一台P C会不会p i n g通交换机。
很显然已经p i n g不同。
怎么样?是不是很简单呢?相关阅读：交换机工作原理过程交换机工作于O S I参考模型的第二层，即数据链路层。
交换机内部的C P U会在每个端口成功连接时，通过将M A C地址和端口对应，形成一张M A C表。
在今后的通讯中，发往该M A C地址的数据包将仅送往其对应的端口，而不是所有的端口。
H3CS5100交换机H3C交换机绑定IP和MAC地址
H3CS5100交换机H3C交换机绑定IP和MAC地址H3C S5100交换机交换机是一种用于电信号转发的网络设备。
它可以为接入交换机的任意两个网络节点提供独享的电信号通路。
交换机工作在数据链路层，拥有一条很高带宽的背部总线和内部交换矩阵。
交换机的所有的端口都挂接在这条背部总线上，控制电路收到数据包以后，处理端口会查找内存中的地址对照表以确定目的MAC（网卡的硬件地址）的NIC（网卡）挂接在哪个端口上，通过内部交换矩阵迅速将数据包传送到目的端口，目的MAC若不存在，广播到所有的端口，接收端口回应后交换机会“自动学习”新的地址，并把它添加入内部MAC地址列表。
交换机配置信息配置交换机必须进入交换机系统system-view创建VLAN和进入VLAN[H3C]VLAN 2将接口划分到VLAN中，(下列表示将23到28接口划分到VLAN2) [H3C-vlan2]port GigabitEthernet 1/0/23 to GigabitEthernet 1/0/28[H3C-vlan2]port GigabitEthernet 1/0/2 （把接口2划分到VLAN2）进入接口模式（进入25接口）[H3C]interface GigabitEthernet 1/0/23[H3C-GigabitEthernet1/0/23]am user-bind命令IP、MAC地址和端口绑定配置[H3C]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9 interface GigabtEthernet 1/0/23与[H3C-GigabitEthernet1/0/23]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9配置是完全相同的查看配置命令：[H3C]display am user-bind注意：同一IP或MAC地址不可以在同一模式下绑定两次，模式是指接口模式或全局模式MAC地址和端口绑定配置第一种：进入系统视图。
Cisco的MAC地址与IP绑定方法是什么
Cisco的MAC地址与IP绑定方法是什么交换机的主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。
交换机还具备了一些新的功能，如对VLAN(虚拟局域网)的支持、对链路汇聚的支持，甚至有的还具有防火墙的功能。
对于Cisco的MAC地址与IP绑定方法，可能很多用户还不熟悉，下面一起看看!方法步骤1.方案1——基于端口的MAC地址绑定思科2950交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令：ng=1cellPadding=0width="80%"align=leftbgCol or=#ccccccborder=0>Switch#configterminal#进入配置模式Switch(config)#Interfacefastethernet0/1#进入具体端口配置模式Switch(config-if)#Switchportport-secruity#配置端口安全模式Switch(config-if)switchportport-securitymac-addressMAC(主机的MAC地址)#配置该端口要绑定的主机的MAC地址Switch(config-if)noswitchportport-securitymac-addressMAC(主机的MAC地址)#删除绑定主机的MAC地址注意：以上命令设置交换机上某个端口绑定一个具体的MAC地址，这样只有这个主机可以使用网络，如果对该主机的网卡进行了更换或者其他PC机想通过这个端口使用网络都不可用，除非删除或修改该端口上绑定的MAC地址，才能正常使用。
注意：以上功能适用于思科2950、3550、4500、6500系列交换机2.方案2——基于MAC地址的扩展访问列表Switch(config)Macaccess-listextendedMAC10#定义一个MAC地址访问控制列表并且命名该列表名为MAC10Switch(config)permithost0009.6bc4.d4bfany#定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机Switch(config)permitanyhost0009.6bc4.d4bf#定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机Switch(config-if)interfaceFa0/20#进入配置具体端口的模式Switch(config-if)macaccess-groupMAC10in#在该端口上应用名为MAC10的访问列表(即前面我们定义的访问策略)Switch(config)nomacaccess-listextendedMAC10#清除名为MAC10的访问列表此功能与应用一大体相同，但它是基于端口做的MAC地址访问控制列表限制，可以限定特定源MAC地址与目的地址范围。
H3C交换机-IP MAC 端口 绑定设置
H3C交换机1、system-view进入系统视图模式2、sysname为设备命名3、displaycurrent-configuration当前配置情况4、language-modeChinese|English中英文切换5、interfaceEthernet1/0/1进入以太网端口视图6、portlink-typeAccess|Trunk|Hybrid设置端口访问模式7、undoshutdown打开以太网端口8、shutdown关闭以太网端口9、quit退出当前视图模式10、vlan10创建VLAN10并进入VLAN10的视图模式11、portaccessvlan10在端口模式下将当前端口加入到vlan10中12、portE1/0/2toE1/0/5在VLAN模式下将指定端口加入到当前vlan中13、porttrunkpermitvlanall允许所有的vlan通过H3C路由器######################################################################################1、system-view进入系统视图模式2、sysnameR1为设备命名为R13、displayiprouting-table显示当前路由表4、language-modeChinese|English中英文切换5、interfaceEthernet0/0进入以太网端口视图7、undoshutdown打开以太网端口8、shutdown关闭以太网端口9、quit退出当前视图模式H3CS3100SwitchH3CS3600SwitchH3CMSR20-20Router##########################################################################################1、调整超级终端的显示字号；2、捕获超级终端操作命令行，以备日后查对；3、language-modeChinese|English中英文切换；4、复制命令到超级终端命令行，粘贴到主机；5、交换机清除配置:<H3C>resetsave；<H3C>reboot；6、路由器、交换机配置时不能掉电，连通测试前一定要检查网络的连通性，不要犯最低级的错误。
华为交换机怎么绑定绑定ip地址-MAC地址
华为交换机怎么绑定绑定ip地址/MAC地址交换机的主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。
交换机还具备了一些新的功能，如对VLAN(虚拟局域网)的支持、对链路汇聚的支持，甚至有的还具有防火墙的功能。
有时为了预防IP地址被盗用等网络安全威胁的问题，需要设置绑定呢，具体怎么设置呢?下面我们就来看看详细的设置教程，需要的朋友可以参考下方法步骤1、打开模拟器，创建一台交换机和两台PC、开机，配置好IP地址，一台PC备用。
2、交换机配置Vlan，把端口模式改为Access模式，把端口加入到Vlan100里，测试PC到交换机网通信是否正常。
当前没有路由器网管配置或不配置没有关系。
能ping通交换机。
3、接下来做绑定配置，在GigabitEthernet0/0/1端口上绑定当前PC的IP和MAC地址，Vlan。
命令格式：在配置模式下，[Huawei]user-bindstaticipaddressx.x.x.xmacaddressxxxx-xxxx-xxxxinterfaceGigabitEthernet0/0/1vlanID。
4、下一步绑定完了之后，我们再连接另一台备用的PC到交换机interfaceGigabitEthernet0/0/1端口上。
5、换了另一台PC会不会ping通交换机。
很显然已经ping 不同。
怎么样?是不是很简单呢?补充：交换机基本使用方法作为基本核心交换机使用，连接多个有线设备使用：网络结构如下图，基本连接参考上面的【方法/步骤1：基本连接方式】作为网络隔离使用：对于一些功能好的交换机，可以通过模式选择开关选择网络隔离模式，实现网络隔离的作用，可以只允许普通端口和UPlink端口通讯，普通端口之间是相互隔离不可以通讯的除了作为核心交换机(中心交换机)使用，还可以作为扩展交换机(接入交换机)来扩展网络放在路由器上方，扩展网络供应商的网络线路(用于一条线路多个IP的网络)，连接之后不同的路由器用不同的IP连接至公网相关阅读：交换机硬件故障常见问题电源故障：由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源损坏或者风扇停止，从而不能正常工作。
华为交换机怎么绑定绑定ip地址和mac地址.doc
华为交换机怎么绑定绑定ip地址和mac地址具体步骤1、打开模拟器，创建一台交换机和两台PC、开机，配置好IP地址，一台PC备用。
2、交换机配置Vlan，把端口模式改为Access模式，把端口加入到Vlan100里，测试PC到交换机网通信是否正常。
当前没有路由器网管配置或不配置没有关系。
能ping通交换机。
3、接下来做绑定配置，在GigabitEthernet0/0/1端口上绑定当前PC的IP和MAC地址，Vlan。
命令格式：在配置模式下，[Huawei] user-bind static ip address x.x.x.x mac address xxxx-xxxx-xxxx interface GigabitEthernet 0/0/1 vlan ID 。
4、下一步绑定完了之后，我们再连接另一台备用的PC 到交换机interface GigabitEthernet 0/0/1 端口上。
5、换了另一台PC会不会ping通交换机。
很显然已经ping 不同。
怎么样?是不是很简单呢?相关阅读：交换机工作原理过程交换机工作于OSI参考模型的第二层，即数据链路层。
交换机内部的CPU会在每个端口成功连接时，通过将MAC 地址和端口对应，形成一张MAC表。
在今后的通讯中，发往该MAC地址的数据包将仅送往其对应的端口，而不是所有的端口。
因此，交换机可用于划分数据链路层广播，即冲突域;但它不能划分网络层广播，即广播域。
交换机拥有一条很高带宽的背部总线和内部交换矩阵。
交换机的所有的端口都挂接在这条背部总线上，控制电路收到数据包以后，处理端口会查找内存中的地址对照表以确定目的MAC(网卡的硬件地址)的NIC(网卡)挂接在哪个端口上，通过内部交换矩阵迅速将数据包传送到目的端口，目的MAC若不存在，广播到所有的端口，接收端口回应后交换机会学习新的MAC地址，并把它添加入内部MAC地址表中。
使用交换机也可以把网络分段，通过对照IP地址表，交换机只允许必要的网络流量通过交换机。
华为交换机怎么绑定绑定ip地址-MAC地址.doc
华为交换机怎么绑定绑定ip地址/MAC地址方法步骤1、打开模拟器，创建一台交换机和两台PC、开机，配置好IP地址，一台PC备用。
2、交换机配置Vlan，把端口模式改为Access模式，把端口加入到Vlan100里，测试PC到交换机网通信是否正常。
当前没有路由器网管配置或不配置没有关系。
能ping通交换机。
3、接下来做绑定配置，在GigabitEthernet0/0/1端口上绑定当前PC的IP和MAC地址，Vlan。
命令格式：在配置模式下，[Huawei] user-bind static ip address x.x.x.x mac address xxxx-xxxx-xxxx interface GigabitEthernet 0/0/1 vlan ID 。
4、下一步绑定完了之后，我们再连接另一台备用的PC 到交换机interface GigabitEthernet 0/0/1 端口上。
5、换了另一台PC会不会ping通交换机。
很显然已经ping 不同。
怎么样?是不是很简单呢?补充：交换机基本使用方法作为基本核心交换机使用，连接多个有线设备使用：网络结构如下图，基本连接参考上面的【方法/步骤1：基本连接方式】作为网络隔离使用：对于一些功能好的交换机，可以通过模式选择开关选择网络隔离模式，实现网络隔离的作用，可以只允许普通端口和UPlink端口通讯，普通端口之间是相互隔离不可以通讯的除了作为核心交换机(中心交换机)使用，还可以作为扩展交换机(接入交换机)来扩展网络放在路由器上方，扩展网络供应商的网络线路(用于一条线路多个IP的网络)，连接之后不同的路由器用不同的IP连接至公网相关阅读：交换机硬件故障常见问题电源故障：由于外部供电不稳定，或者电源线路老化或者雷击等原因导致电源损坏或者风扇停止，从而不能正常工作。
由于电源缘故而导致机内其他部件损坏的事情也经常发生。
如果面板上的POWER指示灯是绿色的，就表示是正常的;如果该指示灯灭了，则说明交换机没有正常供电。
华三交换机端口IP-MAC地址绑定
H3C交换机端口绑定IP+MAC的思路及配置客户的一个新项目，最近需要在H3C的交换机上做端口+IP+MAC绑定，最终目的是为了实现上网控制，大家都知道这是一件很繁琐的工作，前期要收集好MAC+IP+端口还有使用人的信息，客户终端有500台左右，所以前期收集资料的工作量蛮大，本来告诉客户在上网行为管理设备上做用户名密码认证+ARP绑定的方式，但客户说之前在核心交换机上做过ARP绑定，但有些人把本地的IP和MAC修改为与能上网的电脑IP和MAC一模一样，这样两台机器相当于同一台机器一样，都能同时在线上网了，也不会报IP地址冲突，只是上网速度会有一定的影响（会有丢包），若其中一台电脑不在线，另一台修改过得电脑上网完全没有影响。
结合上网行为管理设备做用户名和密码认证，用户又说怕能上网的那些人把自己的用户名和密码告诉别人，没办法彻底控制！晕现在基本上只能按照他们的要求去在接入层交换机上做端口+IP+MAC绑定了，接入层交换机有两种型号：S5120-52C-EI和S3100V2-16TP-EI，看了一下两种交换机都支持这种端口+IP+MAC的绑定方式，那就根据客户的需求来干吧~ 以下是总体思路和方法:首先，收集各终端的IP+MAC+端口信息以及使用人信息（估计3个工作日的时间），并做好记录；然后，在各台接入层交换机上根据前面收集到的信息就行配置（2个工作日左右），下面我们看一下配置：（1）1个端口下只有一台电脑的绑定方法如IP地址为10.100.10.2 ，MAC地址为00-1A-4D-1E-39-2D 的电脑接在交换机的G1/0/2端口，那么可以进行如下配置：interface GigabitEthernet 1/0/2 首先进入2号端口user-bind ip-addr 10.100.10.2 mac-addr 001A-4D1E-392D 绑定IP和MAC（2）1个端口下接了一个小交换机的绑定方式如：1号端口下接了一个8口的小交换机，交换机接有3台电脑，3台电脑的IP和MAC如下1电脑的IP：10.100.11.2 MAC：00-1A-4D-1E-39-812电脑的IP：10.100.11.3 MAC：00-1A-4D-1E-39-8E3电脑的IP：10.100.11.4 MAC：00-1A-4D-1E-39-8F那么这三台电脑都需要进行捆绑，可以进行如下配置：interface GigabitEthernet 1/0/1 首先进入1端口user-bind mac-addr 001a-4d1e-3981 ip-addr 10.100.11.2user-bind mac-addr 001a-4d1e-398e ip-addr 10.100.11.3user-bind mac-addr 001a-4d1e-398f ip-addr 10.100.11.4（3）若端口下没有接任何设备，那么当新接入一台终端后，就没有IP+MAC地址的限制了，就有可能会正常上网，因此还需要在这些空闲端口上关掉MAC地址自动学习的功能，命令如下：interface GigabitEthernet 1/0/20 首先进入空闲的20号端口mac-address mac-learning disable 关掉此端口的MAC地址学习功能最后，抽几台电脑进行测试，更改IP或MAC或端口，看看是否满足客户需求，但这里有一点要说明的是对于上面第二种情况，若端口接了一个小交换机或HUB，其中一台不能上网的电脑把IP和MAC修改为同接在一台小交换机上的可以上网的电脑的IP和MAC，也是可以上网的，现象就是同时在线会网速慢丢包，不同时在线是没有影响的。
华为交换机IP+MAC+端口绑定
你好，下面是华为交换机绑定的做法，你可以按照下面的做下。
IP+MAC+端口绑定：
通过DHCP Snooping的静态绑定表来实现IP+MAC+端口绑定功能，先在VLAN下配置的静态绑定表，静态绑定表的IP和MAC为待绑定PC的IP和MAC。然后再与PC相连的交换机接口上配置IP和ARP报文检查功能。
[Quidway-Ethernet0/0/24] port default vlan 1
[Quidway-Ethernet0/0/24] dhcp snooping cEthernet0/0/24] dhcp snooping check ip enable
[Quidway-Ethernet0/0/24] quit
[Quidway] vlan 1
[Quidway-vlan1] dhcp snooping enable
[Quidway-vlan1] dhcp snooping bind-table static ip-address 192.168.0.2 mac-address 1-1-1 interface Ethernet0/0/24
华为的2300系列、3300系列、5300系列都支持。
华三的我查了下，他们有几种绑定方式，我也不确定到底哪种可用，和华为的差不多。
假设你在vlan 1上将IP地址192.168.0.2 MAC地址1-1-1的电脑和接口Ethernet0/0/24绑定<Quidway>
<Quidway>system-view
[Quidway] dhcp snooping enable
[Quidway] interface Ethernet 0/0/24
华为交换机IP绑定MAC
由于该功能是基于绑定表进行匹配检查的，因此：
对于DHCP用户，需要使能DHCP Snooping自动生成动态绑定表。
对于静态配置IP的用户，需要手工配置静态绑定表。
注意事项
当存在大量绑定表信息时，使能IP报文检查功能后会花费很长时间进行IP报文检查，因此会影响IP报文的转发效率。
在网络中经常出现利用仿冒合法用户的源IP、MAC等信息的报文访问或攻击网络的情况，导致合法用户无法获得稳定、安全的网络服务。配置IP报文检查功能，可以防范上述情况的发生。
当使能了IP报文的检查功能后，默认会对IP报文中的IP、MAC、VLAN、接口信息进行绑定表匹配检查。同时也可以执行命令ip source check user-bind check-item（接口视图）或者ip source check user-bind check-item（VLAN视图）灵活配置IP报文的检查项。只有与绑定表匹配的IP报文才能被转发，否则被丢弃。
该命令只对动态绑定表生效，对静态绑定表不会生效。对于静态绑定，IP报文的检查功能会根据静态绑定表中已配置的表项进行匹配检查。
可选
<HUAWEI> system-view
[~HUAWEI] vlan 100
[*HUAWEI-vlan100] arp anti-attack check user-bind enable
# 尽量一次录入，启用检测功能后，不在列表内的终端，网络会中断。
Step3: 对目标Vlan启用检测功能
[*HUAWEI] vlan 100
[*HUAWEI-vlan100] dhcp snooping enable
使用静态IP地址的略过此命令
交换机上实施IP与MAC的双向绑定(IPSG实例)
交换机上实施IP与MAC的双向绑定(IPSG实例)部门： xxx时间： xxx整理范文，仅供参考，可下载自行编辑在交换机上实施IP与 MAC的双向绑定说明：不能够在二层交换上做基于 IP的双向绑定，但可在三层交换机上完成SW1(config># interface FastEthernet0/1SW1(config-if># switchport mode accessSW1(config-if>#switchport port-securitySW1(config-if># switchport port-security violation restrict //shutdown protect restrict SW1(config-if># switchport port-security mac-address 00b0.6451.c920SW1(config-if># spanning-tree portfastSW1(config-if># ip access-group 11 in //调用ACLSW1(config-if># exitSW1(config># access-list 11 permit 192.168.2.69IPSG 实验配置步骤QQ截图20180514042234.jpg (18.5 KB>2018-5-14 04:22 SW(config># ipdhcp snoopingSW(config># ipdhcp snooping vlan 1,10SW(config># ipdhcp snooping verify mac-addressSW(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.5 interface f0/5SW(config># interface f0/1SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config># interface f0/5SW(config-if># switchport mode accessSW(config-if># switchport port-securitySW(config-if># ip verify source vlandhcp-snooping port-securitySW(config-if># endb5E2RGbCAPQQ截图20180514042350.jpg (31.34 KB>2018-5-14 04:24一、配置 SW1的防护功能SW1(config># ipdhcp snooping //启用 DHCP Snooping SW1(config># ipdhcp snooping information option //启用82 选项SW1(config># ipdhcp snooping vlan 10,20 //DHCP监听作用的 VLANSW1(config># ipdhcp database flash:dhcp.db //将 DHCP绑定信息保存到dhcp.db中SW1(config># ipdhcp snooping verify mac-addressSW1(config># interface f0/21SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-securitySW1(config># interface f0/23SW1(config-if># switchport mode accessSW1(config-if># switchport port-securitySW1(config-if># ip verify source port-security可选配//SW1(config># ip source binding 0000.0000.0001 vlan 10 172.16.1.1 interface f0/2可选配//SW1(config># ip source binding 0000.0000.0002 vlan 20 172.16.2.1 interface f0/1SW1(config># iparp inspection vlan 10,20 //ARP检测基于VLAN10 VLAN20SW1(config># iparp inspection validate src-mac dst-macip //基于源 MAC 目标 MAC和 IP//DHCP服务器的配置DHCP-SERVER 使用路由器来完成Router(config># ipdhcp pool vlan10 定义地址池Router(config-vlan># network 172.16.1.0255.255.255.0 定义地址池做用的网段及地址范围Router(config-vlan># default-router 172.16.1.254 定义客户端的默认网关Router(config-vlan># dns-server 218.108.248.200 定义客户端的dnsRouter(config-vlan>#exitRouter(config># ipdhcp pool vlan20Router(config-vlan># network 172.16.2.0 255.255.255.0 Router(config-vlan># default-router 172.16.2.254Router(config-vlan># dns-server 218.108.248.200Router(config-vlan># exitRouter(config># ipdhcp excluded-address 172.16.1.100172.16.1.254 //配置保留地址段Router(config># ipdhcp excluded-address 172.16.2.100172.16.2.254Router(config># interface e0/0Router(config-if># ip address 172.16.3.1 255.255.255.0 Router(config-if># no shutdown交换机上的配置SW1(config># interface vlan 10SW1(config-if># ip address 172.16.1.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1 //以单播向DHCP-SERVER发送请求SW1(config-if># interface vlan20SW1(config-if># ip address 172.16.2.254 255.255.255.0 SW1(config-if># ip helper-address 172.16.3.1p1EanqFDPw申明：所有资料为本人收集整理，仅限个人学习使用，勿做商业用途。
交换机mac-ip绑定
在网络安全越来越重要的今天，高校和企业对于局域网的安全控制也越来越严格，普遍采用的做法之一就是IP地址、网卡的MAC地址与交换机端口绑定，我们通常说的MAC 地址与交换机端口绑定其实就是交换机端口安全功能。
端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机; 能根据MAC地址确定允许访问的设备;允许访问的设备的MAC地址既可以手工配置，也可以从交换机“学到”;当一个未批准的MAC地址试图访问端口的时候，交换机会挂起或者禁用该端口等等。
一、首先必须明白两个概念：可靠的MAC地址。
配置时候有三种类型。
静态可靠的MAC地址：在交换机接口模式下手动配置，这个配置会被保存在交换机MAC地址表和运行配置文件中，交换机重新启动后不丢失(当然是在保存配置完成后)，具体命令如下：Switch(config-if)#switchport port-security mac-address Mac地址动态可靠的MAC地址：这种类型是交换机默认的类型。
在这种类型下，交换机会动态学习MAC地址，但是这个配置只会保存在MAC地址表中，不会保存在运行配置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。
黏性可靠的MAC地址：这种类型下，可以手动配置MAC地址和端口的绑定，也可以让交换机自动学习来绑定，这个配置会被保存在MAC地址中和运行配置文件中，如果保存配置，交换机重起动后不用再自动重新学习MAC地址，。
具体命令如下：Switch(config-if)#switchport port-security mac-address sticky其实在上面这条命令配置后并且该端口得到MAC地址后，会自动生成一条配置命令Switch(config-if)#switchport port-security mac-address sticky Mac地址二、违反MAC安全采取的措施：当超过设定MAC地址数量的最大值，或访问该端口的设备MAC地址不是这个MAC 地址表中该端口的MAC地址，或同一个VLAN中一个MAC地址被配置在几个端口上时，就会引发违反MAC地址安全，这个时候采取的措施有三种：1.保护模式(protect)：丢弃数据包，不发警告。
H3C交换机IP MAC绑定
H3C交换机I P+m a c+端口绑定系统视图下：user-bind mac-addr mac-address ip-addr ip-address interface interface-list以太网端口视图下：user-bind mac-addr mac-address ip-addr ip-address如何通过交换机查询MAC、IP及端口dis arp端口+MAC1)AM命令使用特殊的AM User-bind命令，来完成MAC地址与端口之间的绑定。
例如：[SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1说明：由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他未绑定的MAC地址的PC机则无法上网。
但是PC1使用该MAC地址可以在其他端口上网。
2)mac-address命令使用mac-address static命令，来完成MAC地址与端口之间的绑定。
例如：[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1[SwitchA]mac-address max-mac-count 0说明：由于使用了端口学习功能，故静态绑定mac后，需再设置该端口mac学习数为0，使其他PC接入此端口后其mac地址无法被学习。
H3C交换机IP＋MAC地址＋端口绑定配置组网需求：???交换机对PC1进行IP＋MAC＋端口绑定，使交换机的端口E1/0/1下，只允许PC1上网，而PC1在其他端口上还可以上网。
配置步骤：1．进入系统模式<H3C>system-view2．配置IP、MAC及端口的绑定配置关键点：1．同一IP地址或MAC地址，不能被绑定两次；2．经过以上配置后，可以完成将PC1的IP地址、MAC地址与端口E1/0/1之间的绑定功能。
IP与MAC绑定操作方法
我校H3C S5500 IP与MAC绑定操作方法：
1、开始——运行——CMD
2、telnet 网关username：admin 然后输入密码；进入交换机的登入界面，一开始进入的是用户界面，只能查看配置，功能不是很多，不能进行更改配置。
输入SYS敲回车后，进入方括号下，即配置界面，所有的配置都是在这个界面下配置的。
3、查看当前配置，DIS CU敲回车后显示当前配置，用空格键让其显示完毕
4、输入dis arp查看现在已经连接到交换机的PC的MAC地址
复制IP地址与MAC地址的对应关系，右键点击标记, 选定要绑定的IP地址，敲回车健即可复制完毕
5、输入ARP STA TIC <IP地址> <MAC地址> ，
例如ARP STATIC 172.168.120.6 0014-2A9A-8CF6，敲回车后即绑定完毕
命令前面加UNDO ARP 172.168.120.6即可取消绑定
6、输入save 保存配置，输入Y,然后敲回车；直接敲回车；输入Y，覆盖以前的配置；保存完毕。
交换机上实施IP与 MAC的双向绑定(IPSG实例)
在交换机上实施IP与MAC的双向绑定说明：不能够在二层交换上做基于IP的双向绑定，但可在三层交换机上完成SW1(config)# interface FastEthernet0/1SW1(config-if)# switchport mode accessSW1(config-if)#switchport port-securitySW1(config-if)# switchport port-security violation restrict //shutdown protect restrictSW1(config-if)# switchport port-security mac-address 00b0.6451.c920SW1(config-if)# spanning-tree portfastSW1(config-if)# ip access-group 11 in //调用ACLSW1(config-if)# exitSW1(config)# access-list 11 permit 192.168.2.69IPSG 实验配置步骤SW(config)# ipdhcp snoopingSW(config)# ipdhcp snooping vlan 1,10SW(config)# ipdhcp snooping verify mac-addressSW(config)# ip source binding 0000.0000.0001 vlan 10 172.16.1.5 interface f0/5 SW(config)# interface f0/1SW(config-if)# switchport mode accessSW(config-if)# switchport port-securitySW(config-if)# ip verify source vlandhcp-snooping port-securitySW(config)# interface f0/5SW(config-if)# switchport mode accessSW(config-if)# switchport port-securitySW(config-if)# ip verify source vlandhcp-snooping port-securitySW(config-if)# end一、配置 SW1的防护功能SW1(config)# ipdhcp snooping //启用 DHCP SnoopingSW1(config)# ipdhcp snooping information option //启用 82 选项SW1(config)# ipdhcp snooping vlan 10,20 //DHCP监听作用的 VLANSW1(config)# ipdhcp database flash:dhcp.db //将 DHCP绑定信息保存到dhcp.db中SW1(config)# ipdhcp snooping verify mac-addressSW1(config)# interface f0/21SW1(config-if)# switchport mode accessSW1(config-if)# switchport port-securitySW1(config-if)# ip verify source port-securitySW1(config)# interface f0/23SW1(config-if)# switchport mode accessSW1(config-if)# switchport port-securitySW1(config-if)# ip verify source port-security可选配//SW1(config)# ip source binding 0000.0000.0001 vlan 10 172.16.1.1 interface f0/2可选配//SW1(config)# ip source binding 0000.0000.0002 vlan 20 172.16.2.1 interface f0/1SW1(config)# iparp inspection vlan 10,20 //ARP检测基于 VLAN10 VLAN20SW1(config)# iparp inspection validate src-mac dst-mac ip //基于源 MAC 目标 MAC 和 IP//DHCP服务器的配置DHCP-SERVER 使用路由器来完成Router(config)# ipdhcp pool vlan10 定义地址池Router(config-vlan)# network 172.16.1.0 255.255.255.0 定义地址池做用的网段及地址范围Router(config-vlan)# default-router 172.16.1.254 定义客户端的默认网关Router(config-vlan)# dns-server 218.108.248.200 定义客户端的dnsRouter(config-vlan)#exitRouter(config)# ipdhcp pool vlan20Router(config-vlan)# network 172.16.2.0 255.255.255.0Router(config-vlan)# default-router 172.16.2.254Router(config-vlan)# dns-server 218.108.248.200Router(config-vlan)# exitRouter(config)# ipdhcp excluded-address 172.16.1.100 172.16.1.254 //配置保留地址段Router(config)# ipdhcp excluded-address 172.16.2.100 172.16.2.254Router(config)# interface e0/0Router(config-if)# ip address 172.16.3.1 255.255.255.0Router(config-if)# no shutdown交换机上的配置SW1(config)# interface vlan 10SW1(config-if)# ip address 172.16.1.254 255.255.255.0SW1(config-if)# ip helper-address 172.16.3.1 //以单播向DHCP-SERVER发送请求SW1(config-if)# interface vlan20SW1(config-if)# ip address 172.16.2.254 255.255.255.0SW1(config-if)# ip helper-address 172.16.3.1。
H3C交换机IP+MAC地址+端口绑定配置
组网需求：交换机对PC1进行IP＋MAC＋端口绑定，使交换机的端口E1/0/1下，只允许PC1上网，而PC1在其他端口上还可以上网。
配置步骤：1．进入系统模式<H3C>system-view2．配置IP、MAC及端口的绑定[H3C]am user-bind mac-addr 000f-e201-1112 ip-addr 1.1.1.1 interface e1/0/1配置关键点：1．同一IP地址或MAC地址，不能被绑定两次；2．经过以上配置后，可以完成将PC1的IP地址、MAC地址与端口E1/0/1之间的绑定功能。
此时端口E1/0/1只允许PC1上网，而使用其他未绑定的IP地址、MAC地址的PC机则无法上网。
但是PC1使用该IP地址和MAC地址可以在其他端口上网；3．h3c交换机上有些产品只支持IP＋MAC＋端口三者同时绑定，有些可以绑定三者中任意二者，即IP＋端口、MAC＋端口、IP＋MAC这三种绑定。
H3C 3600/H3C S5600/S3900/S5600/S5100EI 系列产品只支持三者同时绑定；S3000系列中S3026EFGTC/S3026C-PWR/S3050C支持三者同时绑定或任意两者的绑定；S3500系列设备除了S3526EC外都不支持上述三者或任意两者绑定；S5000系列设备支持三者或任意两者绑定；H3C S5500-SI、S2000C/S2000-EI、S3100SI系列设备不支持三者或任意两者的绑定。
H3C S5100 交换机端口绑定首先登录交换机，进入管理状态System-View第一种情况：1个端口只有一台电脑如何绑定如：某台电脑的IP：10.119.100.1 MAC：00-1A-4D-1E-39-8D 要把此电脑绑定到交换机的24号端口操作如下：interface GigabitEthernet 1/0/24 首先进入24端口am user-bind mac-addr 001a-4d1e-398d ip-addr 10.119.100.1 绑定IP和MAC就2步就成功了！（如果命令打错了，要撤销，请在命令前加undo）第二种情况：1个端口下接了一个小交换机如何绑定如：1号端口下接了一个8口的小交换机，交换机接有3台电脑，3台电脑的IP和MAC如下1电脑的IP：10.119.100.2 MAC：00-1A-4D-1E-39-812电脑的IP：10.119.100.3 MAC：00-1A-4D-1E-39-8E3电脑的IP：10.119.100.4 MAC：00-1A-4D-1E-39-8F要把此电脑绑定到交换机的1号端口操作如下：interface GigabitEthernet 1/0/1 首先进入1端口am user-bind mac-addr 001a-4d1e-3981 ip-addr 10.119.100.2 需要都绑am user-bind mac-addr 001a-4d1e-398e ip-addr 10.119.100.3am user-bind mac-addr 001a-4d1e-398f ip-addr 10.119.100.4（如果命令打错了，要撤销，请在命令前加undo）第三种情况：端口下没接任何设备额如：2号端口没有接任何设备interface GigabitEthernet 1/0/2 首先进入2端口mac-address max-mac-count 0 关掉此端口的学习MAC功能--------------------------------------------------------------- 常用命令1、查看所有配置 dis cu2、配置好必须要保存 sa3、查看绑定情况dis am user-bind。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
关于IP地址与MAC地址绑定方法的简单介绍
地市各位网管：
现将IP地址与MAC地址绑定命令简单介绍如下：
1、请在IP地址网关所在三层设备上进行IP地址与MAC地址绑定
2、请对vlan内的所有地址都进行绑定，这样效果比较好。
3、CISCO设备绑定方法如下：
配置模式下：
对已用的地址进行绑定：
arp 10.34.2.47 047d.7b30.84fe arpa
对没用的地址也要绑定一个空MAC地址
arp 10.34.2.48 0000.0000.0000 arpa
4、华为设备绑定方法有两种，方法如下：
（1）配置模式下：
user-bind static ip-address 10.34.7.196 mac-address 047d-7b30-865d vlan 424
需在接口下调用，示例如下：
interface Ethernet0/0/4
description 25F-4C
port link-type access
port default vlan 424
ntdp enable
ndp enable
bpdu enable
ip source check user-bind enable
注意：如果在此端口上调用user-bind后，接入此端口的IP地址如不进行绑定，则接不了办公网络。
（2）与思科设备一样（但某些华为设备VRP版本需要升级,升级步骤请见附件）
配置模式下：
已用的地址进行绑定：
arp static 10.34.2.47 047D-7B30-84FE vid 950
如配置错误，删除命令是undo arp static 10.34.2.47
由于版本不同，如此策略不生效，可用arp static 10.34.2.47 047D-7B30-84FE 不加vid试一试。
如再不行，则需要VRP版本升级，请大家注意。
对没用的地址也要绑定一个空MAC地址
arp static 10.34.2.48 0000-0000-0000 vid 950
华为400电话：400-8302118 也可以电话咨询。
信息化事业部
2013.8.9。