谁私改IP就断谁的网？华为IPSG静态绑定表一招治

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

小办公室里总有这样的麻烦：有人嫌网慢自己改了个IP，结果和服务器或同事的地址冲突，一改全网跟着乱；出了安全问题想定位到人，地址对不上号。要管住私改地址这类行为，IP源防护（IPSG）是直接手段：在设备上登记好IP和端口的绑定表，报文对不上绑定表的直接丢弃。主机数量不多、地址固定分配的环境，用静态绑定表最合适。

静态绑定表方式适用于局域网络中主机数较少且主机被分配固定IP地址的情况。注意静态绑定表创建后IPSG并未生效，只有在指定接口或指定VLAN上使能IPSG后才生效。使能方式有两种：基于接口使能，该接口收到的所有报文均做检查，适合只管某些不信任接口的场景；基于VLAN使能，属于该VLAN的所有接口收到的报文均做检查，适合多个接口同属一个VLAN的场景。如果在VLAN和接口下都配置了IPSG功能，先配置的生效，后配置的不生效。

第一步，进入系统视图，配置IPv4静态绑定表项（IPv6环境另有对应命令，按需选用）：

system-view

user-bind static { ip-address { start-ip [ to end-ip ] } &<1-10> | mac-address mac-address } * [ interface { interface-type interface-number | interface-name } ] [ vlan vlan-id [ ce-vlan ce-vlan-id ] ]

IPSG按绑定表项做完全匹配，表项包含几项就检查几项，所以绑定时要确保信息正确完整。多个地址还可以批量绑定：地址不连续时可以重复输入1～10个地址，例如user-bind static ip-address 10.0.0.1 10.0.0.3 10.0.0.5 interface 10GE 0/0/1；地址连续时用to指定地址段，区间不能有交叉，例如user-bind static ip-address 10.0.0.1 to 10.0.0.4 mac-address 00e0-fc12-3456。

第二步，全局使能DHCP功能（IPSG功能依赖）：

dhcp enable

第三步，可选：配置信任接口。主机是静态地址分配的环境一般不需要，但当上行接口也在使能IPSG的VLAN内时需要把上行口配置成信任接口，否则回程报文会因匹配不到绑定表而被丢弃：

interface interface-type interface-number
dhcp snooping trusted
quit

第四步，在接口视图或VLAN视图下开启IPSG功能，按环境任选：

interface interface-type interface-number
ipv4 source check user-bind enable
quit

配好怎么验证：执行display ip source check user-bind statistics [ interface { interface-name | interface-type interface-number } ]，查看IPSG的丢弃报文统计信息；执行display ip source check user-bind status等命令查看静态绑定表项信息以及状态，确认Status字段正常。另外要注意，设备ACL资源不足时可能导致绑定表下发失败，配置能看到但实际不生效，此时要用status命令回显确认。有丢弃计数、私改地址的终端上不了网，管理目的就达到了。地址与人的对应关系管住了，内网秩序就稳了一半，欢迎搜索关注贵州诚鑫致达科技，获取更多内网准入治理实操。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。