配置IP Source Guard示例.docVIP

配置IP Source Guard示例 组网需求 如 HYPERLINK /enterprise/docinforeader!loadDocument.action?contentId=DOC1000001170partNo=10092 \l fig_dc_s_cfg_x0180201 图5-2所示，HostA与HostB分别与Switch的Eth0/0/1和Eth0/0/2接口相连。要求在Switch上配置IP Source Guard功能，使HostB不能仿冒HostA的IP和MAC欺骗服务器，保证HostA的IP报文能正常上送。 图5-2 ?配置IP Source Guard组网图  配置思路 采用如下的思路配置IP Source Guard功能（假设用户的IP地址是静态分配的）： 接口使能IP报文检查功能。连接HostA和HostB的接口都需要使能该功能。 配置对IP报文匹配检查。 配置静态绑定表。 数据准备 为完成此配置举例，需要准备以下数据： 连接HostA的接口：Eth0/0/1；连接HostB的接口：Eth0/0/2。 HostA的IP地址：/24，MAC地址：1-1-1 HostA所在VLAN：VLAN10 说明： 以下配置步骤中，只列出了和IP Source Guard配置相关的命令。 操作步骤 配置IP报文检查功能 # 在连接HostA的Eth0/0/1接口使能IP报文检查功能。 [Quidway] interface ethernet 0/0/1 [Quidway-Ethernet0/0/1] ip source check user-bind enable # 在连接HostA的Eth0/0/1接口配置IP报文检查告警功能。 [Quidway-Ethernet0/0/1] ip source check user-bind alarm enable [Quidway-Ethernet0/0/1] ip source check user-bind alarm threshold 200 [Quidway-Ethernet0/0/1] quit # 在连接HostB的Eth0/0/2接口使能IP报文检查功能。 [Quidway] interface ethernet 0/0/2 [Quidway-Ethernet0/0/2] ip source check user-bind enable [Quidway-Ethernet0/0/2] quit # 在连接HostB的Eth0/0/2接口配置IP报文检查告警功能。 [Quidway-Ethernet0/0/2] ip source check user-bind alarm enable [Quidway-Ethernet0/0/2] ip source check user-bind alarm threshold 200 [Quidway-Ethernet0/0/2] quit 配置静态绑定表项 # 配置HostA为静态绑定表项。 [Quidway] user-bind static ip-address mac-address 0001-0001-0001 interface gigabitethernet 1/0/1 vlan 10 验证配置结果 在Switch上执行display dhcp snooping user-bind all命令可以查看绑定表信息。 Quidway display dhcp snooping user-bind all DHCP static Bind-table:,Flags:O - outer vlan ,I - inner vlan ,P - map vlan, IP Address MAC Address VSI/VLAN（O/I/P） Interface, --------------------------------------------------------------------------------, 0001-0001-0001 10 /-- /-- Eth0/0/1, --------------------------------------------------------------------------------, print count: 1 total count: 1, 从显示信息可知，HostA已经配置为静态绑定表项，HostB不在绑定表中。 配置文件 # user-bind st