静态绑定表的作用
IPSG（IP Source Guard）在端口上核对报文的源 IP、源 MAC 是否与绑定表一致，不一致直接丢弃；DAI（动态 ARP 检测）用同一张绑定表判定 ARP 报文是否合法。绑定表平时由 DHCP Snooping 从租约里自动生成，但静态 IP 终端与服务器没有租约，必须手工把 IP-MAC-端口写进静态绑定表，IPSG 与 DAI 才有判据可用。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| 绑定表来源 | DHCP Snooping 动态生成，或手工静态绑定两条渠道 |
| 绑定四要素 | IP 地址、MAC 地址、接入端口、VLAN |
| 前置条件 | 动态场景需先开 DHCP Snooping 并设置信任端口 |
| 配套特性 | IPSG 查源 IP，DAI 查 ARP 请求与应答 |
典型使用场景
- 服务器区防 IP 冒用：服务器多用静态 IP，没有 DHCP 租约，必须手工建绑定表才能启用 IPSG
- 防 ARP 欺骗：DAI 依赖绑定表校验 ARP，静态终端不建表时 DAI 会把合法 ARP 也丢掉
- 哑终端接入：打印机、门禁等固定地址设备，建一次表项长期有效
- 混合地址环境：同一 VLAN 里既有 DHCP 终端又有静态终端，用静态表补齐缺的那部分
- 安全审计留存：静态绑定表本身就是一份「IP-MAC-端口」的接入台账
华为 VRP
华为 VRP
[Huawei] user-bind static ip-address 192.168.10.100 mac-address 0011-2233-4455 # 全局静态绑定
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] user-bind static ip-address 192.168.10.100 mac-address 0011-2233-4455 vlan 10 # 接口下绑定并带 VLAN
[Huawei-GigabitEthernet0/0/1] ip source check user-bind enable # 端口开启 IPSG 检查
<Huawei> display dhcp snooping user-bind all # 查看绑定的全部表项
<Huawei> display ip source check user-bind interface GigabitEthernet0/0/1思科 IOS
思科 IOS
SW-CORE-01(config)# ip source binding 0011.2233.4455 vlan 10 192.168.10.100 interface GigabitEthernet0/1
SW-CORE-01(config-if)# ip verify source # 只校验源 IP
SW-CORE-01(config-if)# ip verify source port-security # 同时校验 MAC（配合端口安全）
SW-CORE-01# show ip source binding # 查看静态与动态绑定表
SW-CORE-01# show ip verify source interface Gi0/1 # 查看端口检查状态与被丢弃计数H3C Comware
H3C Comware
[H3C] ip source binding ip-address 192.168.10.100 mac-address 0011-2233-4455 # 全局静态绑定
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] ip verify source ip-address mac-address # 端口开启检查
<H3C> display ip source binding # 查看绑定表
<H3C> display ip source binding static # 只看静态项动态与静态绑定来源对比
| 来源 | 生成方式 | 失效条件 | 适用终端 |
|---|---|---|---|
| 动态绑定 | DHCP Snooping 按租约自动生成 | 租约到期或释放后消失 | DHCP 获取地址的终端 |
| 静态绑定 | 管理员手工配置 | 只能手工删除 | 服务器、哑终端、固定地址设备 |
| 常见组合 | 同一端口两类共存 | 接口或 VLAN 变更需同步维护 | 混合地址环境 |
IPSG 与 DAI 共用一张绑定表是排查的切入点：绑定表里没有的四要素组合，报文一律被判非法。现象是「端口 up、ARP 不通、IP 也不通」，很容易误判成端口故障。