H3C交换机办公网Access端口配置实例
以 H3C S5570S 和 Comware V7 为例，把办公终端端口加入 VLAN 10，配置固定终端的 IP-MAC-端口绑定，并完成接入验证。
本文以 H3C S5570S 系列和 Comware V7 为主要示例，只适用于本人拥有或已经明确授权管理的交换机。文中的 VLAN、地址、设备名称和端口都是示例，使用时要换成现场实际规划。
一、现场场景
上一篇已经允许 VLAN 10 通过接入交换机和上级交换机之间的 Trunk。这次把办公电脑连接的下联端口加入 VLAN 10，再用终端测试整个链路。
本次使用下面的示例：
| 项目 | 示例值 |
|---|---|
| 接入交换机 | HQ-Access-01 |
| 办公网 VLAN | 10 |
| 单端口示例 | GigabitEthernet1/0/1 |
| 批量端口 | GigabitEthernet1/0/2 至 GigabitEthernet1/0/48 |
| 办公网 IPv4 网段 | 192.168.10.0/24 |
| 办公网 IPv6 网段 | 2001:db8:10::/64 |
| 固定终端 IPv4 | 192.168.10.11 |
| 固定终端 IPv6 | 2001:db8:10::11 |
| 固定终端 MAC | 00e0-fc12-3456 |
示例中的 IP 地址不能直接用于生产网络。
二、配置目标
- 把办公电脑使用的端口设置为 Access 类型；
- 把这些端口加入 VLAN 10；
- 给端口添加容易看懂的描述；
- 先配置一个端口，确认正常后再批量配置；
- 给使用固定地址的终端增加 IPv4/IPv6 与 MAC 地址绑定；
- 用终端检查 IPv4、IPv6 和网关是否正常。
三、先检查并配置一个测试端口
批量配置最容易出现的问题，不是命令写错，而是选错端口。我会先对照机柜标签和端口表，确认 1—48 号端口确实给办公电脑使用。
先查看整台交换机的端口状态、现有配置、VLAN、Trunk、聚合成员和已经学习到的终端：
# 查看所有端口的状态和当前配置，不能只抽查前两个端口。
<HQ-Access-01> display interface brief
<HQ-Access-01> display current-configuration
# 查看各 VLAN 已经包含哪些端口。
<HQ-Access-01> display vlan all
# 找出已有的 Trunk 和聚合成员端口，避免被批量改成 Access。
<HQ-Access-01> display port trunk
<HQ-Access-01> display link-aggregation verbose
# 查看交换机已经在哪些端口学到终端 MAC，用来发现正在使用的端口。
<HQ-Access-01> display mac-address
把 1—48 号端口逐个与端口表核对。只要端口处于 UP、已有描述、属于其他 VLAN、配置成 Trunk 或 Hybrid、加入聚合组，或者已经学到 MAC 地址，都要单独确认用途。还不能确定的端口，再执行下面的命令查看详细配置：
# 把接口编号替换成需要继续确认的实际端口。
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/端口号
如果端口已经连接了其他终端或交换机，不能直接套用本文配置。这些设备可能需要不同的 VLAN，甚至需要 Trunk 或 Hybrid 端口。只有确认属于办公电脑的端口，才能加入后面的批量范围。
还要确认 VLAN 10 已经存在：
<HQ-Access-01> display vlan 10
如果提示 VLAN 不存在，先创建 VLAN 10：
<HQ-Access-01> system-view
# 创建办公网 VLAN 10。如果 VLAN 已经存在，进入后直接退出即可。
[HQ-Access-01] vlan 10
[HQ-Access-01-vlan10] quit
[HQ-Access-01] return
如果要做 IP-MAC-端口绑定，还要从终端资产记录中确认固定 IPv4、固定 IPv6、网卡 MAC 和接入端口。不能只看交换机当前学到的 MAC 就直接绑定，因为同一个工位可能临时接过其他电脑。
检查完成后，我会先拿一个空闲端口测试。确认终端可以正常接入，再配置剩余端口，这样更容易发现 VLAN、DHCP 或上联配置问题。
<HQ-Access-01> system-view
# 进入办公电脑连接的 1 号端口。
[HQ-Access-01] interface GigabitEthernet1/0/1
# 写清端口用途，后续排查时不用反复找端口表。
[HQ-Access-01-GigabitEthernet1/0/1] description Office_PC_01
# 设置为 Access 端口，只接收和发送一个 VLAN 的终端流量。
[HQ-Access-01-GigabitEthernet1/0/1] port link-type access
# 把端口加入办公网 VLAN 10。
[HQ-Access-01-GigabitEthernet1/0/1] port access vlan 10
# 确保端口没有被手动关闭。
[HQ-Access-01-GigabitEthernet1/0/1] undo shutdown
[HQ-Access-01-GigabitEthernet1/0/1] return
配置完成后检查端口：
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/1
<HQ-Access-01> display interface GigabitEthernet1/0/1 brief
配置中应该能看到 port access vlan 10。接上电脑后，端口的物理状态和协议状态应为 UP。
四、给固定终端增加 IP-MAC-端口绑定
静态绑定适合台式机、服务器和其他长期使用固定地址的终端。普通笔记本如果通过 DHCP 获取地址，地址变化后会因为不符合绑定而断网，不适合逐台手工绑定。
下面把 1 号端口限制为示例终端使用：
<HQ-Access-01> system-view
# 进入固定终端连接的 1 号端口。
[HQ-Access-01] interface GigabitEthernet1/0/1
# 把终端的 IPv4、MAC、VLAN 10 与当前 1 号端口绑定。
# 地址和 MAC 必须替换成资产记录中的实际值。
[HQ-Access-01-GigabitEthernet1/0/1] ip source binding ip-address 192.168.10.11 mac-address 00e0-fc12-3456 vlan 10
# 双栈网络还要绑定固定 IPv6、MAC、VLAN 和当前端口。
[HQ-Access-01-GigabitEthernet1/0/1] ipv6 source binding ip-address 2001:db8:10::11 mac-address 00e0-fc12-3456 vlan 10
# 绑定写好后再启用 IPv4/IPv6 Source Guard，避免启用时没有匹配表项。
[HQ-Access-01-GigabitEthernet1/0/1] ip verify source ip-address mac-address
[HQ-Access-01-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address
[HQ-Access-01-GigabitEthernet1/0/1] return
绑定命令写在 1 号接口下，因此端口也是绑定条件之一。只有 IP、MAC、VLAN 和接入端口都符合配置的终端才能正常通信。2—48 号端口不能共用这组地址，每台固定终端都要使用自己的 IP、MAC 和实际端口单独配置。
IPv6 终端如果启用了临时地址，地址会定期变化，也不适合直接绑定一个固定 IPv6。遇到大量 DHCP、DHCPv6 或自动获取地址的办公终端，应使用 DHCP Snooping、DHCPv6 Snooping 或 ND Snooping 动态生成绑定，不能继续堆手工配置。
静态 Source Guard 主要检查从端口进入的 IP 流量来源，不能代替完整的 DHCP、ARP 和 IPv6 ND 防护。
五、批量配置办公端口
单端口验证正常后，再批量配置 2—48 号端口：
<HQ-Access-01> system-view
# 一次进入 2—48 号端口。执行前必须确认这个范围内没有其他用途的端口。
[HQ-Access-01] interface range GigabitEthernet1/0/2 to GigabitEthernet1/0/48
# 批量写入统一描述。需要精确到工位时，再逐个修改描述。
[HQ-Access-01-if-range] description Office_PC
# 批量设置为 Access 端口。
[HQ-Access-01-if-range] port link-type access
# 批量加入办公网 VLAN 10。
[HQ-Access-01-if-range] port access vlan 10
# 启用被手动关闭的端口。
[HQ-Access-01-if-range] undo shutdown
[HQ-Access-01-if-range] return
不同型号显示的批量接口视图名称可能略有不同，不影响配置结果。
我不会为了省事直接选择整台交换机的所有端口。上联口、管理口、服务器口和暂未确认用途的端口都要排除。
六、Comware V5 配置
Comware V5 配置单个 Access 端口时，命令与上面的写法基本相同：
<HQ-Access-01> system-view
# 进入办公电脑连接的端口。
[HQ-Access-01] interface GigabitEthernet1/0/1
# 添加端口描述。
[HQ-Access-01-GigabitEthernet1/0/1] description Office_PC_01
# 设置为 Access 端口并加入 VLAN 10。
[HQ-Access-01-GigabitEthernet1/0/1] port link-type access
[HQ-Access-01-GigabitEthernet1/0/1] port access vlan 10
[HQ-Access-01-GigabitEthernet1/0/1] undo shutdown
[HQ-Access-01-GigabitEthernet1/0/1] return
本文参考的 Comware V5 配置支持静态 IPv4 与 MAC 绑定：
<HQ-Access-01> system-view
# 在固定终端连接的端口下绑定 IPv4 和 MAC。
[HQ-Access-01] interface GigabitEthernet1/0/1
[HQ-Access-01-GigabitEthernet1/0/1] user-bind ip-address 192.168.10.11 mac-address 00e0-fc12-3456
[HQ-Access-01-GigabitEthernet1/0/1] return
本文参考的 H3C S5500 Comware V5 使用接口视图下的 user-bind，端口由当前接口确定。该命令只提供 IPv4 静态绑定，没有本文 V7 示例中的 IPv6 Source Guard 配置。双栈网络不能把这段 V5 配置当成完整的 IPv4/IPv6 防护。
V5 批量配置 Access 端口可以使用手工端口组：
<HQ-Access-01> system-view
# 创建手工端口组。
[HQ-Access-01] port-group manual Office_Access
# 把 2—48 号端口加入端口组。
[HQ-Access-01-port-group-manual-Office_Access] group-member GigabitEthernet1/0/2 to GigabitEthernet1/0/48
# 对端口组内的所有端口设置 Access 类型和 VLAN 10。
[HQ-Access-01-port-group-manual-Office_Access] port link-type access
[HQ-Access-01-port-group-manual-Office_Access] port access vlan 10
[HQ-Access-01-port-group-manual-Office_Access] return
端口描述最好按实际工位逐个填写。若某个端口之前执行过 shutdown，再进入该端口执行 undo shutdown。
七、终端接入验证
1. 检查 VLAN 和端口配置
# 查看 VLAN 10 下有哪些端口。
<HQ-Access-01> display vlan 10
# 查看端口状态。
<HQ-Access-01> display interface brief
# 抽查首尾端口，避免批量范围写错。
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/2
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/48
2. 接入一台测试电脑
把测试电脑接到 1 号端口，按照现场规划通过 DHCP、自动配置或手工方式获得地址。Access 端口只负责把终端放进 VLAN 10，不需要在端口下分别配置 IPv4 和 IPv6。
在电脑上确认下面几项：
- 获得的 IPv4 地址属于现场规划的办公网段；
- 获得的 IPv6 地址和默认网关符合现场规划；
- 能访问办公网的 IPv4 网关；
- 已部署 IPv6 时，能访问办公网的 IPv6 网关。
下面是 Windows 电脑的检查示例，网关地址要替换成现场实际地址：
# 查看电脑获得的 IPv4、IPv6、网关和 DNS 信息。
ipconfig /all
# 测试 IPv4 网关。192.168.10.1 只是示例。
ping 192.168.10.1
# 测试 IPv6 网关。2001:db8:10::1 只是示例。
ping 2001:db8:10::1
3. 查看交换机学到的终端地址
# 查看 VLAN 10 学到的 MAC 地址。
<HQ-Access-01> display mac-address vlan 10
测试电脑的 MAC 地址应出现在实际连接的 Access 端口上。电脑能访问网关，并且交换机在正确端口学到 MAC 地址，才说明 VLAN 10 已经从办公端口正常通过上联链路。
4. 检查 IP-MAC-端口绑定
# 查看 1 号端口的 IPv4 静态绑定。
<HQ-Access-01> display ip source binding static interface GigabitEthernet1/0/1
# 查看 IPv6 静态绑定。输出中的地址、MAC、VLAN 和端口应与规划一致。
<HQ-Access-01> display ipv6 source binding static interface GigabitEthernet1/0/1
先用绑定的终端测试 IPv4 和 IPv6 网关，再在测试窗口内换成未登记的地址测试。正确的地址应能正常通信，未绑定的源地址应被拦截。只看到绑定表，不代表安全策略已经完整验证。
八、常见问题
1. 端口是 UP，但电脑没有地址
先检查端口是否在 VLAN 10，再检查 DHCP 服务和上联 Trunk 是否允许 VLAN 10。端口亮灯只能说明网线已经接通，不能说明 VLAN 和地址服务正常。
2. 电脑拿到了错误网段的地址
重点检查 port access vlan。如果端口仍在 VLAN 1 或其他 VLAN，电脑可能从错误的地址池获得地址。
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/1
3. IPv4 正常，IPv6 不通
Access 端口不会分别区分 IPv4 和 IPv6。IPv4 正常时，我会继续检查终端的 IPv6 地址、IPv6 网关，以及上级设备的 IPv6 配置，不会重复给 Access 端口配置一套“IPv6 VLAN”。
4. 批量配置后其他设备断网
通常是批量范围包含了不该修改的端口。立即根据变更前记录恢复这些端口，不要继续用新的批量命令覆盖。
5. VLAN 10 中看不到终端 MAC 地址
先确认电脑确实接在检查的端口上，并让电脑主动访问网关。如果仍然学不到 MAC 地址，再检查网线、网卡和端口状态。
6. 配置绑定后终端立即断网
先核对 IP、MAC、VLAN 和实际端口是否完全一致。终端通过 DHCP 换了地址、使用了另一块网卡，或者 IPv6 使用临时地址时，原来的静态绑定都会失效。
7. IPv4 被限制了，IPv6 仍能通信
只配置 IPv4 Source Guard 不会自动限制 IPv6。V7 双栈环境要同时配置 ipv6 verify source 和 ipv6 source binding；如果终端地址会变化，应改用经过完整规划的动态绑定方案。
九、回退配置
回退必须以变更前保存的配置为准。下面只适用于这些端口原来是默认 VLAN 1、没有端口描述，并且原本允许启用的情况。
<HQ-Access-01> system-view
# 先关闭 1 号端口的 Source Guard，再删除 IPv4 和 IPv6 静态绑定。
[HQ-Access-01] interface GigabitEthernet1/0/1
[HQ-Access-01-GigabitEthernet1/0/1] undo ip verify source
[HQ-Access-01-GigabitEthernet1/0/1] undo ipv6 verify source
[HQ-Access-01-GigabitEthernet1/0/1] undo ip source binding ip-address 192.168.10.11 mac-address 00e0-fc12-3456 vlan 10
[HQ-Access-01-GigabitEthernet1/0/1] undo ipv6 source binding ip-address 2001:db8:10::11 mac-address 00e0-fc12-3456 vlan 10
[HQ-Access-01-GigabitEthernet1/0/1] quit
# 再进入本次修改的 1—48 号端口。
[HQ-Access-01] interface range GigabitEthernet1/0/1 to GigabitEthernet1/0/48
# 删除本次添加的统一端口描述。
[HQ-Access-01-if-range] undo description
# 删除 Access VLAN 10 配置，端口恢复到默认 VLAN 1。
[HQ-Access-01-if-range] undo port access vlan
[HQ-Access-01-if-range] return
如果端口原来属于其他 VLAN、原来有描述或原来处于关闭状态，要逐个恢复原配置，不能照搬上面的示例。
回退后重新检查：
<HQ-Access-01> display vlan 10
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/1
<HQ-Access-01> display interface brief
<HQ-Access-01> display ip source binding static
<HQ-Access-01> display ipv6 source binding static
确认回退结果正确后再保存配置。
十、小结
办公电脑使用的端口一般配置为 Access 类型，再加入对应的业务 VLAN。实际操作时，先确认端口用途，再测试一个端口，最后批量配置剩余端口，比直接修改整段端口更稳妥。
固定地址终端可以增加 IP、MAC、VLAN 和端口绑定。V7 双栈网络要同时处理 IPv4 和 IPv6；地址经常变化的办公终端更适合动态绑定，不能简单复制静态配置。
终端能获得正确的 IPv4、IPv6 和网关，能够访问对应网关，并且交换机能在正确端口学到终端 MAC 地址，才算完成接入验证。
十一、完整配置汇总
下面汇总 Comware V7 的完整示例。1 号端口连接固定地址终端，并配置 IPv4/IPv6 静态绑定；2—48 号端口只批量配置 Access VLAN，不能共用 1 号端口的绑定信息。
<HQ-Access-01> system-view
# 创建或进入办公网 VLAN 10。
[HQ-Access-01] vlan 10
[HQ-Access-01-vlan10] quit
# 配置第一个办公端口，方便先接入测试电脑验证。
[HQ-Access-01] interface GigabitEthernet1/0/1
[HQ-Access-01-GigabitEthernet1/0/1] description Office_PC_01
[HQ-Access-01-GigabitEthernet1/0/1] port link-type access
[HQ-Access-01-GigabitEthernet1/0/1] port access vlan 10
[HQ-Access-01-GigabitEthernet1/0/1] undo shutdown
# 固定终端的 IPv4、IPv6、MAC、VLAN 和当前端口必须与资产记录一致。
[HQ-Access-01-GigabitEthernet1/0/1] ip source binding ip-address 192.168.10.11 mac-address 00e0-fc12-3456 vlan 10
[HQ-Access-01-GigabitEthernet1/0/1] ipv6 source binding ip-address 2001:db8:10::11 mac-address 00e0-fc12-3456 vlan 10
# 绑定写好后再启用 IPv4/IPv6 Source Guard。
[HQ-Access-01-GigabitEthernet1/0/1] ip verify source ip-address mac-address
[HQ-Access-01-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address
[HQ-Access-01-GigabitEthernet1/0/1] quit
# 批量配置其余办公端口。
[HQ-Access-01] interface range GigabitEthernet1/0/2 to GigabitEthernet1/0/48
[HQ-Access-01-if-range] description Office_PC
[HQ-Access-01-if-range] port link-type access
[HQ-Access-01-if-range] port access vlan 10
[HQ-Access-01-if-range] undo shutdown
[HQ-Access-01-if-range] return
# 检查 VLAN、端口配置、端口状态和 MAC 地址学习情况。
<HQ-Access-01> display vlan 10
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/1
<HQ-Access-01> display current-configuration interface GigabitEthernet1/0/48
<HQ-Access-01> display interface brief
<HQ-Access-01> display mac-address vlan 10
<HQ-Access-01> display ip source binding static interface GigabitEthernet1/0/1
<HQ-Access-01> display ipv6 source binding static interface GigabitEthernet1/0/1
# 终端测试正常后保存配置。
<HQ-Access-01> save force