8.不过客户端arp -a时还是动态的,因为客户端没绑定,还是动态获取的
a)AM命令
使用特殊的AM User-bind命令,来完成MAC地址与端口之间的绑定。例如:
[SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1
配置说明:由于使用了端口参数,则会以端口为参照物,即此时端口E0/1只允许PC1上网,而使用其他未绑定的MAC地址的PC机则无法上网。但是PC1使用该MAC地址可以在其他端口上网。
b)mac-address命令
使用mac-address static命令,来完成MAC地址与端口之间的绑定。例如:
[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1
[SwitchA]mac-address max-mac-count 0
配置说明:由于使用了端口学习功能,故静态绑定mac后,需再设置该端口mac学习数为0,使其他PC接入此端口后其mac地址无法被学习。
2,IP+MAC
a)AM命令
使用特殊的AM User-bind命令,来完成IP地址与MAC地址之间的绑定。例如:
[SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3
配置说明:以上配置完成对PC机的IP地址和MAC地址的全局绑定,即与绑定的IP地址或者MAC地址不同的PC机,在任何端口都无法上网。
支持型号:S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024G
b)arp命令
使用特殊的arp static命令,来完成IP地址与MAC地址之间的绑定。例如:
[SwitchA]arp static 10.1.1.2 00e0-fc22-f8d3
配置说明:以上配置完成对PC机的IP地址和MAC地址的全局绑定。
3,端口+IP+MAC
使用特殊的AM User-bind命令,来完成IP、MAC地址与端口之间的绑定。例如:
[SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3 interface Ethernet 0/1
配置说明:可以完成将PC1的IP地址、MAC地址与端口E0/1之间的绑定功能。由于使用了端口参数,则会以端口为参照物,即此时端口E0/1只允许 PC1上网,而使用其他未绑定的IP地址、MAC地址的PC机则无法上网。但是PC1使用该IP地址和MAC地址可以在其他端口上网。
支持型号:S3026E/S3026E-FM/S3026-FS;S3026G;S3026C;S3026C- PWR;E3026;E050;S3526E/C;S3526E-FM/FS; S5012T/G、S5024G、S3900、S5600、S6500(3代引擎)
注意,如果网络架构是防火墙(路由器)--三层交换机--二层交换机--客户机
那么,IP与MAC绑定就只能在三层或二层(如果二层有这个功能)上绑了,而不能在防火墙上绑.
因为现在相当于路由器--路由器--二层--客户机,两个路由已经形成了广播域隔离,下面这个广播域的mac就出不去了,所以此时在防火墙上绑定下面客户机的MAC和IP是没用的.当然这里的三层交换机是做了转发的才相当于一个路由器,如果没做转发(我的理解是禁用其路由功能,不同交换机方法好像不一样,思科要用命令开启路由后路由才能用,华为好像是VLAN划分并指定IP后才启用路由),那它还是相当于一台普通的交换机,这时就可以在防火墙上绑定IP与MAC.不过绑定尽量绑在交换机上!!!
感谢checkpoint和185384603
转载于:https://blog.51cto.com/mcmvp/975252