спасибо, в повсеместно установленной 2.10.B10 нет =) благо, нашёл в чудом завалявшейся 2.41.B03

_________________
Это текст, который можно добавлять к размещаемым вами сообщениям. Длина его ограничена 255 символами.

А если используется VRRP ? И интерфейсов (вланов) много?
Кроме того, пока заводишь L3 интерфейса коммутатор сам выдумывает мак адреса по порядку их появления, что может не коррелировать с их IP.
Однако сами IP могут быть вполне определенными, например все Х.Х.Х.1(2,3) для VRRP, 1-го и второго коммутаторов соответственно.

Потом еще вопрос, что если используется PROXY_ARP ? Хотелось бы защитить все такие маки, при том, что IP может быть любым.

ну а в чём проблема использовать IP-MAC-Binding в этом случае?

Привязывать пользователей неудобно, так как нужно обеспечить возможность работы непрописанного оборудования (по DHCP). И на одном порту может быть более 1 хоста (например тупой хаб).

В режиме IP-MAC-Binding DHCP Snooping всё прописывается автоматически

Есть часть клиентов на статике.