关于h3c防火墙的地址绑定问题

tychj

单位是h3c 1000FS防火墙，想用防火墙根据mac地址来控制上网【或是让某些IP+mac上网，或是让某些IP+mac不能上网】。已经做了mac地址绑定了，但不好用。麻烦大虾们赐教。
我做的方法：
禁止某个电脑上网
firewall mac-binding enable
firewall mac-binding 192.168.0.142 001f-d05d-7c31
firewall mac-binding 192.168.0.156 001f-d055-b821

ssffzz1

1、你把不允许上网的IP 绑定一个错误的MAC 。
2、建议用ARP来做，把不允许上网的IP绑定错误的ARP表项。

tychj

我试了，但是他们自己改了另外的ip后又能正常上网了。

ssffzz1

了另外的ip后又能正常上

你绑定了错误的MAC了吗？

未使用过的IP也要绑定的，给一个错误的MAC即可。

tychj

o了。多谢！

ssffzz1

你看看 可否在接口下关闭 ARP 协议。
记得好像是不行。

tychj

在问一下，用ie的浏览器来配置。页面上有“使能”或“禁止”的按钮。用命令行的结果来看就是差一个firewall mac-binding enable。如果采用你推荐的方法，那么这个地方需要注意么？多谢。

ssffzz1

和这个地方没关系吧。

不过WEB界面我真的不熟悉。我都是用命令行的。 1000-S 还是比较不错的产品，常见的东西都支持。
刚调了个F1800-A ，2边的设备有N个网段，就是不给对方指路由，搞的我做了N个NAT,差点没晕菜。

kentchoi

当年我做项目，，，教育网的网段一个一个写进去，，，

真是累死人呢，，，200多个网段，，，后来我的配置成了标准配置

别人copy过去就行了，，，当时真相拿个手榴弹，，轰过去。。。

tychj

：）
多谢了。以前用过pix，H3C头一次用，比较晕。呵呵。