IP Source Guard配置.docx

1.1??IP Source Guard简介1.1.1??概述IP Source Guard功能用于对接口收到的报文进行过滤控制，通常配置在接入用户侧的接口上，以防止非法用户报文通过，从而限制了对网络资源的非法使用（比如非法主机仿冒合法用户IP接入网络），提高了接口的安全性。IP Source Guard绑定表项可以通过手工配置和动态获取两种方式生成。图1-1?IP Source Guard功能示意图1.6??IP Source Guard典型配置举例1.6.1??IPv4静态绑定表项配置举例1.?组网需求如图1-2所示，Host A、Host B分别与Device B的接口GigabitEthernet2/0/2、GigabitEthernet2/0/1相连；Host C与Device A的接口GigabitEthernet2/0/2相连。Device B接到Device A的接口GigabitEthernet2/0/1上。各主机均使用静态配置的IP地址。要求通过在Device A和Device B上配置IPv4静态绑定表项，满足以下各项应用需求：??Device A的接口GigabitEthernet2/0/2上只允许Host C发送的IP报文通过。??Device A的接口GigabitEthernet2/0/1上只允许Host A发送的IP报文通过。??Device B的接口GigabitEthernet1/0/1上允许Host B发送的IP报文通过。2.?组网图图1-2?配置静态绑定表项组网图?3.?配置步骤(1)配置Device A#?配置各接口的IP地址（略）。#?在接口GigabitEthernet2/0/2上配置IPv4接口绑定功能，绑定源IP地址和MAC地址。DeviceA system-view[DeviceA] interface gigabitethernet 2/0/2[DeviceA-GigabitEthernet2/0/2] ip verify source ip-address mac-address#?配置IPv4静态绑定表项，在Device A的GigabitEthernet1/0/2上只允许MAC地址为0001-0203-0405、IP地址为192.168.0.3的数据终端Host C发送的IP报文通过。[DeviceA-GigabitEthernet2/0/2] ip source binding ip-address 192.168.0.3 mac-address 0001-0203-0405[DeviceA-GigabitEthernet2/0/2] quit#?在接口GigabitEthernet2/0/1上配置IPv4接口绑定功能，绑定源IP地址和MAC地址。[DeviceA] interface gigabitethernet 2/0/1[DeviceA-GigabitEthernet2/0/1] ip verify source ip-address mac-address#?配置在Device A的GigabitEthernet1/0/1上只允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的数据终端Host A发送的IP报文通过。[DeviceA-GigabitEthernet2/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406[DeviceA-GigabitEthernet2/0/1] quit(2)配置Device B#?配置各接口的IP地址（略）。#?在接口GigabitEthernet2/0/2上配置IPv4接口绑定功能，绑定源IP地址和MAC地址。DeviceB system-view[DeviceB] interface gigabitethernet 2/0/2[DeviceB-GigabitEthernet2/0/2] ip verify source ip-address mac-address[DeviceB-GigabitEthernet2/0/2] quit#?在接口GigabitEthernet2/0/1上配置IPv4接口绑定功能，绑定源IP地址和MAC地址。[DeviceB] interface gigabitethernet 2/0/1[DeviceB-GigabitEthernet2/0/1] ip verify source ip-address mac-address#?配置IPv4静态绑定表项，在Device B的GigabitEthernet2/0/1上允许MAC地址为0001-0203-0407的数据终端H