员工偷偷改IP抢权限怎么治？华为IPSG把地址焊死在网卡上
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
不少企业内网用静态 IP，地址是管理员按规划一台台分配的。但总有员工为图方便自己改地址：有人改成了别的部门主机的 IP，把正常业务顶掉线；有人试着改成网关或管理地址，想蹭不该有的访问权限。出了这种事再查 MAC、对台账，费时又伤感情。根治办法是在接入交换机上启用 IPSG（IP 源防护）：把"哪个口、哪块网卡只能用哪个 IP"做成绑定表，接口上报文逐个核对，对不上的一律丢弃，从机制上杜绝私改 IP。
本文场景：各主机（Host）通过交换机 Switch 接入网络，网关 Gateway 为企业出口；所有主机使用静态配置的 IP 地址。管理员要求每台主机只能用分配到的固定 IP 上网，改了就上不了网。做法分三步：建静态绑定表、接口使能 IPSG、开启丢包告警。
第一步，把 Host_1 和 Host_2 的 IP 与 MAC 绑定关系写成静态表项：
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] user-bind static ip-address 10.0.0.1 mac-address xxxx-xxxx-xxx1
[Switch] user-bind static ip-address 10.0.0.11 mac-address xxxx-xxxx-xxx2
这里 MAC 地址请替换成每台主机网卡的真实 MAC（系统里用 ipconfig /all 或看网卡标签都能查到），一机一条，别怕表项多，这正是管理台账的电子化。
第二步，在连接各主机的接口上使能 IPSG，并开启 IP 报文检查告警。先配 Host_1 接的 GE1/0/1，丢弃报文数达到 200 就上报告警：
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] ip source check user-bind enable
[Switch-GigabitEthernet1/0/1] ip source check user-bind alarm enable
[Switch-GigabitEthernet1/0/1] ip source check user-bind alarm threshold 200
[Switch-GigabitEthernet1/0/1] quit
Host_2 接的 GE1/0/2 同样处理：
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] ip source check user-bind enable
[Switch-GigabitEthernet1/0/2] ip source check user-bind alarm enable
[Switch-GigabitEthernet1/0/2] ip source check user-bind alarm threshold 200
[Switch-GigabitEthernet1/0/2] quit
告警阈值的作用是给你装个"警报器"：某个口频繁丢非法报文，多半意味着有人在改地址试探，或者是新设备没登记就接进来了，两种情况都值得管理员过问。
第三步，验证。查静态绑定表确认表项在册：
[Switch] display dhcp static user-bind all
DHCP static Bind-table:
Flags:O - outer vlan ,I - inner vlan ,P - Vlan-mapping
IP Address MAC Address VSI/VLAN(O/I/P) Interface
--------------------------------------------------------------------------------
10.0.0.1 xxxx-xxxx-xxx1 -- /-- /-- --
10.0.0.11 xxxx-xxxx-xxx2 -- /-- /-- --
--------------------------------------------------------------------------------
Print count: 2 Total count: 2
再做功能性验证：Host_1 和 Host_2 使用管理员分配的固定 IP 可以正常访问网络，改成别的 IP 后无法访问网络。两步都过，防护即告闭环。
几点实施建议：一是绑定表要和入网台账同步维护，新员工设备先登记后插线；二是打印服务器、考勤机这类哑终端同样适用，一劳永逸；三是如果内网规模大、主机多，静态逐条绑定比较费人工，可结合 DHCP Snooping 的动态绑定表来做（那是另一套场景）。IP 地址管理是内网秩序的地基，用交换机侧机制管住比靠制度口头约束可靠得多。企业若想做整套准入与地址治理方案，也欢迎让贵州诚鑫致达科技参与规划落地。
企业存储选型参考｜贵州诚鑫致达
做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。