国家 / 地区

10-安全配置指导

22-IP Source Guard配置

本章节下载  (193.92 KB)

docurl=/cn/Service/Document_Software/Document_Center/Routers/Catalog/SR_Router/SR6600/Configure/Operation_Manual/H3C_SR6600_CG-R2603(V1.15)/10/201212/766667_30005_0.htm

22-IP Source Guard配置


1 IP Source Guard配置

*

本特性仅在SAP板工作在二层模式时支持。

 

1.1  IP Source Guard简介

1.1.1  概述

通过在设备接入用户侧的端口上启用IP Source Guard功能,可以对端口收到的报文进行过滤控制,防止非法报文通过端口,从而限制了对网络资源的非法使用(比如非法主机仿冒合法用户IP接入网络),提高了端口的安全性。

IP Source Guard在端口上用于过滤报文的特征项包括:源IP地址、源MAC地址和VLAN标签。这些特征项可单独或组合起来与端口进行绑定,形成绑定表项,具体包括:IP、MAC、IP+MAC、IP+VLAN、MAC+VLAN和IP+MAC+VLAN。

图1-1所示,配置了IP Source Guard的端口接收到报文后查找IP Source Guard绑定表项,如果报文中的特征项与绑定表项中记录的特征项匹配,则端口转发该报文,否则做丢弃处理。绑定功能是针对端口的,一个端口配置了绑定功能后,仅该端口被限制,其他端口不受该绑定影响。

图1-1 IP Source Guard功能示意图

 

1.1.2  绑定功能介绍

1. 静态绑定

通过手工配置产生绑定表项来完成端口的控制功能,适用于局域网络中主机数较少且主机使用静态配置IP地址的情况,比如在接入某重要服务器的端口上配置绑定表项,仅允许该端口接收或者发送与该服务器通信的报文。

l              IPv4静态绑定:通过手工配置IPv4静态绑定表项来过滤端口收到的IPv4报文,或者与ARP Detection功能配合使用检查接入用户的合法性;

l              IPv6静态绑定:通过手工配置IPv6静态绑定表项来过滤端口收到的IPv6报文,或者与ND Detection功能配合使用检查接入用户的合法性。

*

l          ARP Detection功能的详细介绍请参考“安全配置指导”中的“ARP攻击防御”。

l          ND Detection功能的详细介绍请参考“安全配置指导”中的“ND攻击防御”。

l          目前,设备暂不支持IPv6静态绑定。

 

2. 动态绑定

根据DHCP的相关表项动态生成绑定表项来完成端口控制功能,通常适用于局域网络中主机较多,并且采用DHCP进行动态主机配置的情况。其原理是每当DHCP为用户分配IP地址而生成一条DHCP表项时,动态绑定功能就相应地增加一条绑定表项以允许该用户访问网络。如果某个用户私自设置IP地址,则不会触发设备生成相应的DHCP表项,因此动态绑定功能也不会增加相应的访问规则来允许该用户访问网络。除此之外,IPv6类型的动态绑定还支持自动获取ND Snooping表项。

l              IPv4动态绑定:根据DHCP Snooping表项或DHCP Relay表项动态生成绑定表项来过滤端口收到的IPv4报文;

l              IPv6动态绑定:根据DHCPv6 Snooping表项或ND Snooping表项动态生成绑定表项来过滤端口收到的IPv6报文。

*

l          DHCP Snooping和DHCP Relay功能的详细介绍请参考“三层技术-IP业务配置指导”中的“DHCP中继”。

l          DHCPv6 Snooping功能的详细介绍请参考“三层技术-IP业务配置指导”中的“DHCPv6 Snooping”。

l          ND Snooping功能的详细介绍请参考“三层技术-IP业务配置指导”中的“IPv6基础”。

l          目前,设备暂不支持IPv6动态绑定。

 

1.2  配置IPv4绑定功能

1.2.1  配置IPv4静态绑定功能

表1-1 配置IPv4静态绑定功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置IPv4静态绑定表项

user-bind { ip-address ip-address |

 ip-address ip-address mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

必选

缺省情况下,端口上无IPv4静态绑定表项

该功能只能在二层以太网端口下配置

 

一个表项不能在同一个端口上重复绑定,但可以在不同端口上绑定。

 

1.2.2  配置IPv4动态绑定功能

配置了IPv4动态绑定功能的端口,通过与不同的DHCP协议配合来动态生成绑定表项:

l              在二层以太网端口上,IP Source Guard可与DHCP Snooping配合,通过获取IP地址动态分配时产生的DHCP Snooping表项来生成动态绑定表项;

l              VLAN接口上,IP Source Guard可与DHCP Relay配合,通过获取IP地址跨网段动态分配时产生的DHCP Relay表项来生成动态绑定表项。

动态绑定表项中可能包含的内容有:MAC地址、IP地址、VLAN信息、入端口信息及表项类型(DHCP Snooping或DHCP Relay),其中MAC地址、IP地址和VLAN信息的包含情况由动态绑定配置决定。IP Source Guard把这些动态绑定表项下发到端口后,可对端口上转发的报文进行过滤。

表1-2 配置IPv4动态绑定功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置IPv4动态绑定功能

ip check source { ip-address | ip-address mac-address | mac-address }

必选

缺省情况下,端口上未配置IPv4动态绑定功能

 

l          要实现IPv4动态绑定功能,请保证网络中的DHCP Snooping或DHCP Relay配置有效且工作正常,DHCP Snooping配置的具体介绍请参见“三层技术-IP业务配置指导”中的“DHCP Snooping”,DHCP Relay配置的具体介绍请参见“三层技术-IP业务配置指导”中的“DHCP 中继”。

l          接口下的动态绑定表项可多次配置,后配置的覆盖先配置的。

 

1.3  IP Source Guard显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后IP Source Guard的运行情况,通过查看显示信息验证配置的效果。

表1-3 IP Source Guard显示和维护(IPv4)

操作

命令

显示静态绑定表项信息

display user-bind [ interface interface-type interface-number | ip-address ip-address | mac-address mac-address ] [ | { begin | exclude | include } regular-expression ]

显示动态绑定表项信息

display ip check source [ interface interface-type interface-number | ip-address ip-address | mac-address mac-address ] [ slot slot-number ] [ | { begin | exclude | include } regular-expression ]

 

1.4  IP Source Guard典型配置举例

1.4.1  IPv4静态绑定表项配置举例

1. 组网需求

图1-2所示,Host A与Host B分别与Router B的端口GigabitEthernet1/0/2、GigabitEthernet1/0/1相连;Host C与Router A的端口GigabitEthernet1/0/2相连。Router B接到Router A的端口GigabitEthernet1/0/1上。各主机均使用静态配置的IP地址。

通过在Router A和Router B上配置IPv4静态绑定表项,可以满足以下各项应用需求:

l              Router A的端口GigabitEthernet1/0/2上只允许Host C发送的IP报文通过。

l              Router A的端口GigabitEthernet1/0/1上只允许Host A发送的IP报文通过。

l              Router B的端口GigabitEthernet1/0/2上只允许Host A发送的IP报文通过。

l              Router B的端口GigabitEthernet1/0/1上只允许使用IP地址192.168.0.2/24的主机发送的IP报文通过,即允许Host B更换网卡后仍然可以使用该IP地址访问网络。

2. 组网图

图1-2 配置静态绑定表项组网图

 

3. 配置步骤

(1)        配置Router A

# 配置在Router A的GigabitEthernet1/0/2上只允许MAC地址为0001-0203-0405与IP地址为192.168.0.3的Host C发送的IP报文通过。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] user-bind ip-address 192.168.0.3 mac-address 0001-0203-0405

[RouterA-GigabitEthernet1/0/2] quit

# 配置在Router A的GigabitEthernet1/0/1上只允许MAC地址为0001-0203-0406与IP地址为192.168.0.1的Host A发送的IP报文通过。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] user-bind ip-address 192.168.0.1 mac-address 0001-0203-0406

[RouterA-GigabitEthernet1/0/1] quit

(2)        配置Router B

# 配置在Router B的GigabitEthernet1/0/2上只允许MAC地址为0001-0203-0406与IP地址为192.168.0.1的Host A发送的IP报文通过。

<RouterB> system-view

[RouterB] interface gigabitethernet 1/0/2

[RouterB-GigabitEthernet1/0/2] user-bind ip-address 192.168.0.1 mac-address 0001-0203-0406

[RouterB-GigabitEthernet1/0/2] quit

# 配置在Router B的GigabitEthernet1/0/1上只允许IP地址为192.168.0.2的主机发送的IP报文通过。

[RouterB] interface gigabitethernet 1/0/1

[RouterB-GigabitEthernet1/0/1] user-bind ip-address 192.168.0.2

[RouterB-GigabitEthernet1/0/1] quit

4. 验证配置结果

# 在Router A上显示IPv4静态绑定表项配置成功。

[RouterA] display user-bind

Total entries found: 2

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0405    192.168.0.3      N/A    GE1/0/2             Static

 0001-0203-0406    192.168.0.1      N/A    GE1/0/1             Static

# 在Router B上显示IPv4静态绑定表项配置成功。

[RouterB] display user-bind

Total entries found: 2

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0406    192.168.0.1      N/A    GE1/0/2             Static

 N/A               192.168.0.2      N/A    GE1/0/1             Static

1.4.2  与DHCP Snooping配合的IPv4动态绑定功能配置举例

1. 组网需求

Router通过端口GigabitEthernet1/0/1和GigabitEthernet1/0/2分别与客户端Host和DHCP server相连。

具体应用需求如下:

l              Host通过DHCP server获取IP地址。

l              Router上使能DHCP Snooping功能,记录Host的DHCP Snooping表项。

l              在端口GigabitEthernet1/0/1上启用IPv4动态绑定功能,利用记录的DHCP Snooping表项过滤端口转发的报文,仅允许通过DHCP server动态获取IP地址的客户端可以接入网络。

DHCP server的具体配置请参考“三层技术-IP业务配置指导”中的“DHCP服务器”。

 

2. 组网图

图1-3 配置与DHCP Snooping配合的IPv4动态绑定功能组网图

 

3. 配置步骤

(1)        配置DHCP Snooping

# 开启DHCP Snooping功能。

<Router> system-view

[Router] dhcp-snooping

# 设置与DHCP server相连的端口GigabitEthernet1/0/2为信任端口。

[Router] interface gigabitethernet1/0/2

[Router-GigabitEthernet1/0/2] dhcp-snooping trust

[Router-GigabitEthernet1/0/2] quit

(2)        配置IPv4动态绑定功能

# 配置端口GigabitEthernet1/0/1的IPv4动态绑定功能,绑定源IP地址和MAC地址。

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] ip check source ip-address mac-address

[Router-GigabitEthernet1/0/1] quit

4. 验证配置结果

# 显示端口GigabitEthernet1/0/1从DHCP Snooping获取的动态表项。

[Router] display ip check source

Total entries found: 1

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0406    192.168.0.1      1      GE1/0/1             DHCP-SNP

# 显示DHCP Snooping已有的动态表项,查看其是否和端口GigabitEthernet1/0/1获取的动态表项一致。

[Router] display dhcp-snooping

DHCP Snooping is enabled.

The client binding table for all untrusted ports.

Type : D--Dynamic , S--Static

Type IP Address      MAC Address    Lease        VLAN Interface

==== =============== ============== ============ ==== =================

D    192.168.0.1     0001-0203-0406 86335        1    GigabitEthernet1/0/1

从以上显示信息可以看出,端口GigabitEthernet1/0/1在配置IPv4动态绑定功能之后根据获取的DHCP Snooping表项产生了动态绑定表项。

1.4.3  与DHCP Relay配合的IPv4动态绑定功能配置举例

1. 组网需求

Router通过接口Vlan-interface100和 Vlan-interface200分别与客户端Host和DHCP server相连。Router上使能DHCP Relay功能。

具体应用需求如下:

l              Host(MAC地址为0001-0203-0406)通过DHCP relay从DHCP server上获取IP地址。

l              在接口Vlan-interface100上启用IPv4动态绑定功能,利用Router上生成的DHCP Relay表项过滤端口转发的报文,仅允许通过DHCP server动态获取IP地址的客户端可以接入网络。

2. 组网图

图1-4 配置与DHCP Relay配合的IPv4动态绑定功能组网图

 

 

3. 配置步骤

(1)        配置IPv4动态绑定功能

# 配置各接口的IP地址(略)。

# 在接口Vlan-interface100上配置IPv4动态绑定功能,绑定源IP地址和MAC地址。

<Router> system-view

[Router] vlan 100

[Router-Vlan100] quit

[Router] interface vlan-interface 100

[Router-Vlan-interface100] ip check source ip-address mac-address

[Router-Vlan-interface100] quit

(2)        配置DHCP Relay

# 开启DHCP Relay功能。

[Router] dhcp enable

# 配置DHCP服务器的地址。

[Router] dhcp relay server-group 1 ip 10.1.1.1

# 配置接口Vlan-interface100工作在DHCP中继模式。

[Router] interface vlan-interface 100

[Router-Vlan-interface100] dhcp select relay

# 配置接口Vlan-interface100对应服务器组1。

[Router-Vlan-interface100] dhcp relay server-select 1

[Router-Vlan-interface100] quit

4. 验证配置结果

# 显示生成的IPv4动态绑定表项信息。

[Router] display ip check source

Total entries found: 1

 MAC Address       IP Address     VLAN   Interface              Type

 0001-0203-0406    192.168.0.1    100    Vlan100                DHCP-RLY

1.5  常见配置错误举例

1.5.1  静态绑定表项配置和动态绑定功能配置失败

1. 故障现象

在端口上配置静态绑定表项、配置动态绑定功能均失败。

2. 故障分析

IP Source Guard功能跟聚合端口互斥。在聚合端口下不能配置静态绑定表项,也不能配置动态绑定功能。

3. 处理过程

将端口退出已加入的聚合组。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!