静态 MAC 绑定干什么
mac-address static 把某个终端 MAC 固定绑定到指定端口（华为语法里还要带 VLAN），表项手工下发、不老化、重启后依然存在。绑定之外的 MAC 不会被这个端口学习转发，因此它是最原始也最可靠的接入控制手段：固定终端与服务器的位置关系一旦确定，私自换机、接错口都会被立刻暴露。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| MAC 格式 | 华为/H3C 为 0011-2233-4455；思科为 0011.2233.4455 |
| 参数顺序 | 各厂不同：华为是 MAC + 接口 + VLAN，H3C 是 MAC + 接口 + VLAN，思科是 MAC + VLAN + 接口 |
| 老化行为 | 静态表项不老化，只能手工删除 |
| 持久性 | 写入配置，重启不丢；与动态学习表项相互独立 |
典型使用场景
- 服务器端口固定绑定：机柜内服务器网卡位置固定，绑定后换线即失效，能立刻发现误插
- 网络设备互联口：上行/堆叠互联口的 MAC 通常固定，绑定可避免异常学习
- 防止私接替换：办公位绑定员工终端 MAC，换设备必须走流程报备
- 哑终端管理：打印机、摄像机等设备 MAC 长期不变，适合静态绑定
- 排障对照：怀疑 MAC 漂移时，静态绑定能明确区分「本端口合法」与「外部设备」
华为 VRP
华为 VRP
[Huawei] mac-address static 0011-2233-4455 GigabitEthernet0/0/1 vlan 10 # 绑定到端口与 VLAN
[Huawei] mac-address static 0011-2233-4455 GigabitEthernet0/0/1 vlan 10 # 重复下发会提示已存在
[Huawei] undo mac-address static 0011-2233-4455 GigabitEthernet0/0/1 vlan 10 # 删除要带全参数
<Huawei> display mac-address static vlan 10 # 只看静态表项
<Huawei> display mac-address | include 0011-2233-4455 # 核对表项状态思科 IOS
思科 IOS
SW-CORE-01(config)# mac address-table static 0011.2233.4455 vlan 10 interface GigabitEthernet0/1
SW-CORE-01(config)# no mac address-table static 0011.2233.4455 vlan 10 interface GigabitEthernet0/1
SW-CORE-01# show mac address-table static # 只看静态表项
SW-CORE-01# show mac address-table address 0011.2233.4455 # 按 MAC 精确查询，确认在哪个口
! 部分平台支持 drop 关键字，把该 MAC 的流量直接丢弃而不是转发H3C Comware
H3C Comware
[H3C] mac-address static 0011-2233-4455 interface GigabitEthernet1/0/1 vlan 10
[H3C] undo mac-address static 0011-2233-4455 interface GigabitEthernet1/0/1 vlan 10
<H3C> display mac-address static vlan 10
<H3C> display mac-address interface GigabitEthernet1/0/1 # 按端口看学习到哪些 MAC三种接入控制对比
| 手段 | 依据 | 老化 | 适用 |
|---|---|---|---|
| 静态 MAC 绑定 | 手工下发的 MAC-端口对应 | 不老化 | 位置固定的服务器与终端 |
| 端口安全 | 动态学习的 MAC 数量上限 | 可配老化时间 | 办公接入口，数量可控 |
| IPSG/静态绑定表 | IP-MAC-端口三元组 | 依附绑定表 | 防 IP 冒用，需 DHCP Snooping 或手工绑定 |
删除静态表项必须把参数写全（MAC、端口、VLAN 一个不少），否则命令能敲下去但不命中任何条目，表现为「删了但没删掉」。变更前先 display/show 一遍确认原参数。