目  录

1 IP Source Guard

1.1 IP Source Guard配置命令

1.1.1 display ip source binding

1.1.2 display ipv6 source binding

1.1.3 ip source binding

1.1.4 ip verify source

1.1.5 ipv6 source binding

1.1.6 ipv6 verify source

1.1.7 reset ip source binding

1.1.8 reset ipv6 source binding

1 IP Source Guard

1.1  IP Source Guard配置命令

1.1.1  display ip source binding

display ip source binding命令用来显示IPv4绑定表项信息。

【命令】

独立运行模式：

display ip source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcp-relay | dhcp-server | dhcp-snooping | dot1x ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]

IRF模式：

display ip source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcp-relay | dhcp-server | dhcp-snooping | dot1x ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

static：显示配置的静态绑定表项。

vpn-instance vpn-instance-name：显示指定VPN的动态绑定表项，vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示显示公网的动态绑定表项。

dhcp-relay：显示DHCP中继模块生成的动态绑定表项。

dhcp-server：显示DHCP服务器模块生成的动态绑定表项。

dhcp-snooping：显示DHCP Snooping模块生成的动态绑定表项，设备暂不支持本关键字。

dot1x：显示802.1X模块生成的动态绑定表项，设备暂不支持本关键字。

ip-address ip-address：显示指定IPv4地址的绑定表项，ip-address表示绑定的IPv4地址。

mac-address mac-address：显示指定MAC地址的绑定表项，mac-address表示绑定的MAC地址，格式为H-H-H。

vlan vlan-id：显示指定VLAN的绑定表项，vlan-id表示绑定的VLAN ID，取值范围为1～4094。

interface interface-type interface-number：显示指定接口的绑定表项，interface-type interface-number表示绑定的接口类型和接口编号。

slot slot-number：显示指定单板上的绑定表项，slot-number表示单板所在的槽位号。（独立运行模式）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的绑定表项，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（IRF模式）

【使用指导】

·              如果不指定任何参数，则显示公网所有接口的IPv4绑定表项。

·              如果不指定接口号和单板所在槽位号，则显示主控板获得的所有接口的IPv4绑定表项。（独立运行模式）

·              如果不指定接口号和成员设备编号，则显示当前成员设备的主控板获得的所有接口的IPv4绑定表项。（IRF模式）

【举例】

# 显示公网所有接口的IPv4绑定表项。

<Sysname> display ip source binding

Total entries found: 5

IP Address      MAC Address    Interface                VLAN Type

10.1.0.5        N/A            GE3/0/1                  N/A  DHCP relay

10.1.0.6        N/A            GE3/0/1                  N/A  DHCP relay

10.1.0.7        N/A            GE3/0/1                  N/A  DHCP relay

10.1.0.8        N/A            Vlan3                    N/A  DHCP relay

10.1.0.9        N/A            Vlan3                    N/A  Static

表1-1 display ip source binding命令显示信息描述表

【相关命令】

·              ip source binding

·              ip verify source

1.1.2  display ipv6 source binding

display ipv6 source binding命令用来显示IPv6绑定表项信息。

【命令】

独立运行模式：

display ipv6 source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcpv6-snooping ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]

IRF模式：

display ipv6 source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcpv6-snooping ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

static：显示配置的静态绑定表项。

vpn-instance vpn-instance-name：显示指定VPN的动态绑定表项，vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示显示公网的动态绑定表项。

dhcpv6-snooping：显示DHCPv6 Snooping模块生成的动态绑定表项，设备不支持本参数。

ip-address ipv6-address：显示指定IPv6地址的绑定表项，ipv6-address表示绑定的IPv6地址。

mac-address mac-address：显示指定MAC地址的绑定表项，mac-address表示绑定的MAC地址，格式为H-H-H。

vlan vlan-id：显示指定VLAN的绑定表项，vlan-id表示绑定的VLAN ID，取值范围为1～4094。

interface interface-type interface-number：显示指定接口的绑定表项，interface-type interface-number表示绑定的接口类型和接口编号。

slot slot-number：显示指定单板上的绑定表项，slot-number表示单板所在的槽位号。（独立运行模式）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的绑定表项，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（IRF模式）

【使用指导】

·              如果不指定任何参数，则显示公网所有的IPv6绑定表项。

·              如果不指定接口号和单板所在槽位号，则显示主控板获得的所有接口的IPv6绑定表项。（独立运行模式）

·              如果不指定接口号和成员设备编号，则显示当前成员设备的主控板获得的所有接口的IPv6绑定表项。（IRF模式）

【举例】

# 显示公网所有接口的IPv6绑定表项。

<Sysname> display ipv6 source binding

Total entries found: 1

IPv6 Address         MAC Address    Interface               VLAN Type

2012:1222:2012:1222: N/A            GE3/0/1                 2    Static

表1-2 display ipv6 source binding命令显示信息描述表

【相关命令】

·              ipv6 source binding

·              ipv6 verify source

1.1.3  ip source binding

ip source binding命令用来配置IPv4静态绑定表项。

undo ip source binding命令用来删除当前接口配置的IPv4静态绑定表项。

【命令】

ip source binding ip-address ip-address [ mac-address mac-address ] [ vlan vlan-id ]

undo ip source binding ip-address ip-address [ mac-address mac-address ] [ vlan vlan-id ]

【缺省情况】

接口上无IPv4静态绑定表项。

【视图】

二层以太网端口/三层以太网接口/VLAN接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip-address ip-address：指定静态绑定表项的IPv4地址。其中ip-address表示绑定的IPv4地址，必须为A、B、C三类地址之一，不能为127.x.x.x和0.0.0.0。

mac-address mac-address：指定静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

vlan vlan-id：指定静态绑定表项的VLAN。其中vlan-id表示绑定的VLAN ID，取值范围为1～4094。本关键字仅在二层以太网端口上支持。

【使用指导】

IPv4静态绑定表项用于过滤接口收到的IPv4报文，或者与ARP Detection功能配合使用检查接入用户的合法性。

【举例】

# 在接口GigabitEthernet3/0/1上配置一条IPv4静态绑定表项，仅允许源IP地址为192.168.0.1且源MAC地址为0001-0001-0001的报文通过。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/1

[Sysname-GigabitEthernet3/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0001-0001

【相关命令】

·              display ip source binding

1.1.4  ip verify source

ip verify source命令用来配置IPv4端口绑定功能。

undo ip verify source命令用来恢复缺省情况。

【命令】

ip verify source ip-address [ mac-address ]

undo ip verify source

【缺省情况】

接口的IPv4端口绑定功能处于关闭状态。

【视图】

二层以太网端口/三层以太网接口/VLAN接口/三层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip-address：表示绑定源IPv4地址，即根据接口收到的报文的源IPv4地址对报文进行过滤。

mac-address：表示绑定源MAC地址，即根据接口收到的报文的源MAC地址对报文进行过滤。若指定了本参数，则只有接口上收到的报文的源IPv4地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃。

【使用指导】

配置该功能后，IP Source Guard模块会通过配置的静态绑定表项或通过获取其它模块表项信息生成的动态绑定表项过滤接口收到的用户IP报文，符合绑定表项的用户报文被正常转发，不符合绑定表项的用户报文将被丢弃。目前，可为IP Source Guard提供动态绑定表项信息的模块包括DHCP relay、DHCP Snooping、DHCP服务器。其中，DHCP中继、DHCP Snooping模块生成的动态绑定表项可被IP Source Guard模块用于过滤报文， DHCP服务器模块生成的动态绑定表项不被直接用于过滤报文，用于配合其它模块提供相应的安全服务。

需要注意的是，本命令中指定的绑定参数，仅对动态生成的绑定表项有效，是端口使用动态绑定表项过滤报文时关心的报文特征项。如果仅使用静态绑定表项来过滤端口的报文，则本命令仅用于控制是否开启端口的报文过滤功能，端口依据配置的静态绑定表项参数来过滤报文，而不关心本命令中指定的参数。

【举例】

# 在二层以太网端口GigabitEthernet3/0/1上配置IPv4端口绑定功能，根据报文的源IP地址和源MAC地址对端口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/1

[Sysname-GigabitEthernet3/0/1] ip verify source ip-address mac-address

# 在Vlan-interface100上配置对报文的源IP和MAC地址的IPv4端口绑定功能，根据报文的源IP地址和源MAC地址对接口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface vlan-interface 100

[Sysname-Vlan-interface100] ip verify source ip-address mac-address

# 在三层以太网接口GigabitEthernet3/0/2上配置对报文的源IP和MAC地址的IPv4端口绑定功能，根据报文的源IP地址和源MAC地址对接口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/2

[Sysname-GigabitEthernet3/0/2] port link-mode route

[Sysname-GigabitEthernet3/0/2] ip verify source ip-address mac-address

【相关命令】

·              display ip source binding

1.1.5  ipv6 source binding

ipv6 source binding命令用来配置IPv6静态绑定表项。

undo ipv6 source binding命令用来删除当前接口配置的IPv6静态绑定表项。

【命令】

ipv6 source binding ip-address ipv6-address [ mac-address mac-address ] [ vlan vlan-id ]

undo ipv6 source binding ip-address ipv6-address [ mac-address mac-address ] [ vlan vlan-id ]

【缺省情况】

接口上无IPv6静态绑定表项。

【视图】

二层以太网端口/三层以太网接口/VLAN接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip-address ipv6-address：指定静态绑定表项的IPv6地址。其中ipv6-address表示绑定的IPv6地址，不能为全0地址、组播地址、环回地址。

mac-address mac-address：指定静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

vlan vlan-id：指定静态绑定表项的VLAN。其中vlan-id表示绑定的VLAN ID，取值范围为1～4094。本关键字仅在二层以太网端口上支持。

【使用指导】

IPv6静态绑定表项用于过滤接口收到的IPv6报文，或者与ND Detection功能配合使用检查接入用户的合法性。

【举例】

# 在接口GigabitEthernet3/0/1上配置一条IPv6静态绑定表项，仅允许源IPv6地址为2001::1的报文通过。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/1

[Sysname-GigabitEthernet3/0/1] ipv6 source binding ip-address 2001::1

【相关命令】

·              display ipv6 source binding

1.1.6  ipv6 verify source

ipv6 verify source命令用来配置IPv6端口绑定功能。

undo ipv6 verify source命令用来恢复缺省情况。

【命令】

ipv6 verify source ip-address [ mac-address ]

undo ipv6 verify source

【缺省情况】

接口的IPv6端口绑定功能处于关闭状态。

【视图】

二层以太网端口/三层以太网接口/VLAN接口/三层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip-address：表示绑定源IPv6地址，即根据接口收到的报文的源IPv6地址对报文进行过滤。

mac-address：表示绑定源MAC地址，即根据接口收到的报文的源MAC地址对报文进行过滤。若指定了本参数，则只有接口上收到的报文的源IPv6地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃。

【使用指导】

配置该功能后，IP Source Guard模块会通过静态绑定表项或动态绑定表项来过滤接口收到的用户IPv6报文，符合绑定表项的用户报文被正常转发，不符合绑定表项的用户报文将被丢弃。

·              需要注意的是，本命令中指定的绑定参数，仅对动态生成的绑定表项有效，是端口使用动态绑定表项过滤报文时关心的报文特征项。如果仅使用静态绑定表项来过滤端口的报文，则本命令仅用于控制是否开启端口的报文过滤功能，端口依据配置的静态绑定表项参数来过滤报文，而不关心本命令中指定的参数。

【举例】

# 在二层以太网端口GigabitEthernet3/0/1上配置IPv6端口绑定功能，根据报文的源IPv6地址对端口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/1

[Sysname-GigabitEthernet3/0/1] ipv6 verify source ip-address

【相关命令】

·              display ipv6 source binding

1.1.7  reset ip source binding

reset ip source binding命令用来清除IPv4绑定表项。

【命令】

reset ip source binding [ static [ ip-address ip-address ] | [ vpn-instance vpn-instance-name ] [ { dhcp-relay | dhcp-server | dhcp-snooping | dot1x } [ ip-address ip-address ] ] ]

【视图】

用户视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

static：清除静态绑定表项。

vpn-instance vpn-instance-name：清除指定VPN的动态绑定表项。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示清除公网的动态绑定表项。

dhcp-relay：清除DHCP中继模块生成的动态绑定表项。

dhcp-server：清除DHCP服务器模块生成的动态绑定表项。

dhcp-snooping：清除DHCP Snooping模块生成的动态绑定表项，设备暂不支持本关键字。

dot1x：清除802.1X模块生成的动态绑定表项，设备暂不支持本关键字。

ip-address ip-address：清除指定IPv4地址的绑定表项。其中ip-address表示绑定的源IPv4地址。

【使用指导】

如果不指定任何参数，则清除公网所有的IPv4绑定表项。

【举例】

# 清除公网所有的IPv4绑定表项。

<Sysname> reset ip source binding

# 清除源IPv4地址为2.2.2.2的IPv4静态绑定表项。

<Sysname> reset ip source binding static ip-address 2.2.2.2

# 清除VPN 1中的所有IPv4动态绑定表项。

<Sysname> reset ip source binding vpn-instance 1

# 清除VPN 1中的所有来自DHCP relay的IPv4动态绑定表项。

<Sysname> reset ip source binding vpn-instance 1 dhcp-relay

# 清除公网中的来自DHCP relay且源IPv4地址为1.1.1.1的IPv4动态绑定表项。

<Sysname> reset ip source binding dhcp-relay ip-address 1.1.1.1

【相关命令】

·              display ip source binding

·              ip source binding

·              ip verify source

1.1.8  reset ipv6 source binding

reset ipv6 source binding命令用来清除IPv6绑定表项。

【命令】

reset ipv6 source binding [ static [ ip-address ipv6-address ] | [ vpn-instance vpn-instance-name ] [ dhcpv6-snooping [ ip-address ipv6-address ] ] ]

【视图】

用户视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

static：清除静态绑定表项。

vpn-instance vpn-instance-name：清除指定VPN的动态绑定表项。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示清除公网的动态绑定表项。

dhcpv6-snooping：清除DHCPv6 Snooping模块生成的动态绑定表项，设备不支持本参数。

ip-address ipv6-address：清除指定IPv6地址的绑定表项。其中ipv6-address表示绑定的源IPv6地址。

【使用指导】

如果不指定任何参数，则清除公网所有的IPv6绑定表项。

【举例】

# 清除公网所有的IPv6绑定表项。

<Sysname> reset ipv6 source binding

# 清除源IPv6地址为2000::1的IPv6静态绑定表项。

<Sysname> reset ipv6 source binding static ip-address 2000::1

# 清除VPN 1中的所有IPv6动态绑定表项。

<Sysname> reset ipv6 source binding vpn-instance 1

【相关命令】

·              display ipv6 source binding

·              ipv6 source binding

·              ipv6 verify source