MAC地址绑定的核心目的是控制内网接入点，限制指定设备在特定物理端口接入，作为硬件层第一道准入关卡，适用于打印机、工控机等无交互能力设备或办公终端基础管控；常用方式是在交换机启用端口安全并配置MAC白名单，违规动作推荐shutdown；大规模场景应升级为RADIUS动态MAC认证；服务器端需补充ARP静态绑定与防火墙规则强化防护。

明确绑定目的：不是防外网，而是控内网接入点

MAC地址绑定在敏感业务中，核心作用是限制“谁能在哪个物理端口接入网络”，从而控制能触达服务器的终端范围。它不替代身份认证，也不加密通信，而是作为第一道硬件层准入关卡。适用于打印机、工控机、POS终端等无交互能力的设备，或对员工办公终端做基础准入管控。

在交换机/路由器上配置MAC白名单

这是最常用、部署成本最低的方式，依赖网络设备是否支持端口安全（Port Security）或MAC过滤功能：

• 登录企业级交换机（如华为、H3C、Cisco）的命令行或Web管理界面
• 进入目标接入端口（例如员工工位的GigabitEthernet0/0/5），启用端口安全：
  port-security enable
• 设置最大允许MAC数为1，并绑定指定设备：
  port-security mac-address sticky 00e0-fc12-3456
• 配置违规动作（推荐shutdown而非restrict，避免日志淹没）：
  port-security protect-action shutdown
• 保存配置后，该端口仅接受该MAC地址的设备上线；若插错设备，端口自动关闭，需管理员手动恢复

配合RADIUS服务器实现动态MAC认证

当终端数量多、需集中管理或需与用户身份联动时，应升级为MAC地址认证（MAC Authentication），由RADIUS服务器统一鉴权：

• 在接入设备（如无线AC或汇聚交换机）上启用MAC认证，并指向RADIUS服务器（IP+共享密钥）
• 在RADIUS服务器（如FreeRADIUS或商用平台）中预录入合法终端的MAC地址，并关联对应权限组（如“财务终端组”）
• 终端首次接入时，设备自动截获其ARP/DHCP报文中的MAC，发往RADIUS验证
• 通过后，RADIUS下发授权属性（如VLAN ID、ACL策略），例如只允许访问192.168.10.200（数据库服务器）的3306端口
• 优势在于可审计、可联动账号系统、支持批量导入导出，且不依赖静态IP分配

服务器本机加固：补充ARP绑定与防火墙规则

网络设备层绑定后，建议在服务器操作系统层面再加一层防护，防止局域网内ARP欺骗绕过：

• Linux服务器执行：
  arp -s 192.168.1.100 00:1A:2B:3C:4D:5E（将关键客户端IP永久绑定MAC）
• 同时配置iptables/nftables，仅放行来自已知MAC的连接：
  iptables -A INPUT -m mac --mac-source 00:1A:2B:3C:4D:5E -j ACCEPT
  iptables -A INPUT -j DROP
• macOS服务器可在“服务器App > 用户 > 编辑服务访问”中，结合网络账户服务器（如Open Directory）按群组授权，并禁用本地密码登录，强制走目录认证
• 注意：此步需配合DHCP静态分配或固定IP使用，否则ARP表易失效