Question

关于H3C交换机IP和MAC绑定的命令

H3C交换机IP和MAC绑定的命令，要求绑定好的机器才可以上网，未绑定的机器不能通信，并且关闭ARP学习功能。因为需要做ARP的绑定，只能让绑定过的机器通信，未绑定的机器禁止通信，请问用arp static 先绑定，然后在关闭ARP学习是否可以？主要是为了防止ARP的攻击，和对未绑定的机器限制上网的需求针对这种情况有什么好的办法吗？请写下，帮个忙，谢谢

Answer 1

用mac-address static命令。

例如：

[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1

[SwitchA]mac-address max-mac-count 0

port access vlan 100

am ip-pool 192.168.1.2 （也可以在端口上绑定IP地址）

packet-filter inbound ip-group 3000 rule 1

packet-filter inbound ip-group 3000 rule 2

packet-filter inbound ip-group 3000 rule 3

扩展资料：

[H3C]undo vlan all 删除除缺省VLAN外的所有VLAN,缺省VLAN不能被删除。

[H3C-vlan2]port Ethernet 0/4 to Ethernet 0/7 将4到7号端口加入到VLAN2中，此命令只能用来加access端口，不能用来增加trunk或者hybrid端口。

[H3C-vlan2]port-isolate enable 打开VLAN内端口隔离特性,不能二层转发，默认不启用该功能。

[H3C-Ethernet0/4]port-isolate uplink-port vlan 2 设置4为VLAN2的隔离上行端口，用于转发二层数据，只能配置一个上行端口,若为trunk，则建议允许所有VLAN通过,隔离不能与汇聚同时配置。

参考资料来源：百度百科-H3C交换机

Answer 2

用mac-address static命令。

例如：

[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1

[SwitchA]mac-address max-mac-count 0

port access vlan 100

am ip-pool 192.168.1.2 （也可以在端口上绑定IP地址）

packet-filter inbound ip-group 3000 rule 1

packet-filter inbound ip-group 3000 rule 2

packet-filter inbound ip-group 3000 rule 3

扩展资料：

[H3C]undo vlan all 删除除缺省VLAN外的所有VLAN,缺省VLAN不能被删除。

[H3C-vlan2]port Ethernet 0/4 to Ethernet 0/7 将4到7号端口加入到VLAN2中，此命令只能用来加access端口，不能用来增加trunk或者hybrid端口。

Answer 3

没有碰到过这种解决方案，从理论上是可以达到你的需求，只是觉得工作量会比较大，如果你是在小型网络中还好，在中型和大型网络中用手工绑定的话，工作量就比较烦人了

Answer 4

你的交换机型号。华三的有些型号不支持IP和mac绑定。进入交换机编辑模式后进入端口
interface GigabitEthernet1/0/6
user-bind ip-address xx.xx.xx.xx mac-address xxxx.xxxx.xxxx.xxxx

Answer 5

这个我也说不太好