让我们从直接连接到我的电脑的末端交换机——华为S2016-E1开始操作。首先，我们需要限制每个端口的学习MAC地址数量，以防止未授权的设备接入网络。具体操作如下：
进入交换机的命令行模式，针对特定端口，输入命令`mac max-mac-count 0`。这个命令会将端口的MAC地址学习数设为0，意味着该端口将不会自动学习任何新的MAC地址。
接下来，我们需要将一个特定的MAC地址绑定到这个端口上。假设我们选择了一个静态MAC地址`0000-9999-8888`，然后执行命令`mac static 0000-9999-8888 int e0/1 VLAN 10`。这样，只有具有这个MAC地址的PC可以通过这个端口上网，同时这个端口被分配到了VLAN 10。
通过这种方式，我们可以确保每个端口只被授权的设备使用，从而大大减少了ARP攻击的风险。需要注意的是，这两个命令的执行顺序不能弄反。如果你先设置了静态MAC地址再限制MAC地址学习数，那么端口下的PC将无法正常连接网络。因此，正确的顺序是在没有任何PC连接到端口的情况下，先限制MAC地址学习数，再设置静态MAC地址。
这种做法虽然增加了管理的复杂性，但它可以在不牺牲设备性能的情况下，有效提升网络的安全性。传统的三层设备虽然可以实现IP与MAC的绑定，但当设备数量巨大时，会对设备性能造成显著的影响。而通过在末端交换机上进行操作，我们可以在不影响整体网络性能的前提下，实现更精细化的管理。
此外，还可以考虑其他辅助措施，比如定期更新交换机的固件，以修复可能存在的安全漏洞；对宿舍网络进行定期检查，发现异常设备及时处理；甚至可以设置访问控制策略，只允许特定的MAC地址访问网络。
总之，网络管理是一项需要细致入微的工作。通过在末端交换机上实施MAC地址绑定策略，我们可以在确保网络安全的同时，尽量减少对用户正常使用的影响。这种方法虽然需要花费更多的时间和精力，但为了网络的稳定和用户的安全，这是值得的。单位的宿舍网老是有人中arp，搞得头大，又不好意思把别个地网络给喀嚓了，只有用这种麻烦事情了。虽然在三层设备上可以做到ip＋MAC绑定，但数量大了那是牺牲设备性能做代价的。
废话少说，还是在接我电脑的末端交换机华为S2016－E1上开工吧：
[S2016-E1-Ethernet0/1]mac-address max-mac-count 0;
进入到端口，用命令mac max-mac-count 0(端口mac学习数设为0)
[S2016-E1]mac static 0000-9999-8888 int e0/1 vlan 10;
将0000-9999-8888绑定到e0/1端口上，此时只有绑定mac的pc可以通过此口上网,同时E0/1属于vlan 10
就这样，ok了，不过上面两个命令顺序不能弄反，除非端口下没有接pc。呵呵
