目  录

1 IP Source Guard（有线接口）

1.1 IP Source Guard配置命令

1.1.1 display ip source binding

1.1.2 display ipv6 source binding

1.1.3 display ipv6 source binding pd

1.1.4 ip source binding (interface view)

1.1.5 ip source binding (system view)

1.1.6 ip verify source

1.1.7 ipv6 source binding (interface view)

1.1.8 ipv6 source binding (system view)

1.1.9 ipv6 verify source

2 IP Source Guard（无线产品）

2.1 IP Source Guard配置命令

2.1.1 ip verify source

2.1.2 ipv6 verify source

1 IP Source Guard（有线接口）

1.1  IP Source Guard配置命令

1.1.1  display ip source binding

display ip source binding命令用来显示IPv4绑定表项信息。

【命令】

display ip source binding [ static | [ arp-snooping-vlan | dhcp-relay | dhcp-server | dhcp-snooping | dot1x | wlan-snooping ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

static：显示配置的静态绑定表项。

arp-snooping-vlan：显示VLAN下ARP snooping模块生成的动态绑定表项。

dhcp-relay：显示DHCP中继模块生成的动态绑定表项。

dhcp-server：显示DHCP服务器模块生成的动态绑定表项。

dhcp-snooping：显示DHCP Snooping模块生成的动态绑定表项。

dot1x：显示802.1X模块生成的动态绑定表项。

wlan-snooping：显示WLAN Snooping模块生成的动态绑定表项。

ip-address ip-address：显示指定IPv4地址的绑定表项，ip-address表示绑定的IPv4地址。

mac-address mac-address：显示指定MAC地址的绑定表项，mac-address表示绑定的MAC地址，格式为H-H-H。

vlan vlan-id：显示指定VLAN的绑定表项，vlan-id表示绑定的VLAN ID，取值范围为1～4094。

interface interface-type interface-number：显示指定接口的绑定表项，interface-type interface-number表示绑定的接口类型和接口编号。

【举例】

# 显示公网所有接口的IPv4绑定表项和全局的IPv4静态绑定表项。

<Sysname> display ip source binding

Total entries found: 5

IP Address      MAC Address    Interface                VLAN Type

10.1.0.5        040a-0000-4000 GE1/0/1                  1    DHCP snooping

10.1.0.6        040a-0000-3000 GE1/0/1                  1    DHCP snooping

10.1.0.7        040a-0000-2000 GE1/0/1                  1    DHCP snooping

10.1.0.8        040a-0000-1000 GE1/0/2                  N/A  DHCP relay

10.1.0.9        040a-0000-2000 GE1/0/2                  N/A  Static

表1-1 display ip source-binding命令显示信息描述表

【相关命令】

·     ip source binding

·     ip verify source

1.1.2  display ipv6 source binding

display ipv6 source binding命令用来显示IPv6地址绑定表项信息。

【命令】

display ipv6 source binding [ static | [ dhcpv6-relay | dhcpv6-snooping | dot1x | nd-snooping-vlan | wlan-snooping ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

static：显示配置的静态地址绑定表项。

dhcpv6-relay：显示DHCPv6 Relay模块生成的动态地址绑定表项。

dhcpv6-snooping：显示DHCPv6 Snooping模块生成的动态地址绑定表项。

dot1x：显示802.1X模块生成的动态地址绑定表项。

nd-snooping-vlan：显示VLAN下ND snooping模块生成的动态绑定表项。

wlan-snooping：显示WLAN Snooping模块生成的动态地址绑定表项。

ip-address ipv6-address：显示指定IPv6地址的地址绑定表项，ipv6-address表示绑定的IPv6地址。

mac-address mac-address：显示指定MAC地址的地址绑定表项，mac-address表示绑定的MAC地址，格式为H-H-H。

vlan vlan-id：显示指定VLAN的地址绑定表项，vlan-id表示绑定的VLAN ID，取值范围为1～4094。

interface interface-type interface-number：显示指定接口的地址绑定表项，interface-type interface-number表示绑定的接口类型和接口编号。

【举例】

# 显示公网所有接口的IPv6地址绑定表项和全局的IPv6静态地址绑定表项。

<Sysname> display ipv6 source binding

Total entries found: 2

IPv6 Address         MAC Address    Interface               VLAN Type

2012:1222:2012:1222: 000f-2202-0435 GE1/0/1                 1    DHCPv6 snooping

2012:1222:2012:1222

2012:1222:2012:1222: 000f-2202-0436 GE1/0/1                 N/A  Static

2012:1222:2012:1223

表1-2 display ipv6 source-binding命令显示信息描述表

【相关命令】

·     ipv6 source binding

·     ipv6 verify source

1.1.3  display ipv6 source binding pd

display ipv6 source binding pd命令用来显示IPv6前缀绑定表项信息。

【命令】

display ipv6 source binding pd [ prefix prefix/prefix-length ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

prefix prefix/prefix-length：显示指定IPv6前缀/前缀长度对应的IPv6前缀绑定表项信息，其中，prefix-length取值范围为1～128。如果未指定本参数，则显示所有IPv6前缀/前缀长度对应的IPv6前缀绑定表项信息。

mac-address mac-address：显示指定MAC地址的IPv6前缀绑定表项信息，mac-address表示绑定的MAC地址，格式为H-H-H。如果未指定本参数，则显示所有MAC地址对应的IPv6前缀绑定表项信息。

vlan vlan-id：显示指定VLAN内的IPv6前缀绑定表项信息，vlan-id表示绑定的VLAN ID，取值范围为1～4094。如果未指定本参数，则显示所有VLAN内的IPv6前缀绑定表项信息。

interface interface-type interface-number：显示指定接口的IPv6前缀绑定表项信息，interface-type interface-number表示绑定的接口类型和接口编号。如果未指定本参数，则显示所有MAC地址对应的IPv6前缀绑定表项信息。

【使用指导】

IPv6前缀绑定表项是通过动态获取方式生成的，目前只支持从DHCPv6 Snooping获取该表项信息。

【举例】

# 显示所有的IPv6前缀绑定表项。

<Sysname> display ipv6 source binding pd

Total entries found: 3

IPv6 prefix          MAC address     Interface      VLAN  Type

2012:1111::/64       000f-2202-0435  GE1/0/1        1     DHCPv6 snooping

2012:2222::/64       000f-2202-0436  GE1/0/1        2     DHCPv6 snooping

表1-3 display ipv6 source binding pd命令显示信息描述表

【相关命令】

·     ipv6 source binding

·     ipv6 verify source

1.1.4  ip source binding (interface view)

ip source binding命令用来配置接口的IPv4静态绑定表项。

undo ip source binding命令用来删除接口的IPv4静态绑定表项。

【命令】

ip source binding { ip-address ip-address | ip-address ip-address mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

undo ip source binding { all | ip-address ip-address | ip-address ip-address mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

【缺省情况】

接口上未配置IPv4静态绑定表项。

【视图】

二层以太网端口

VLAN接口

【缺省用户角色】

network-admin

【参数】

all：当前接口所有的IPv4静态绑定表项，本参数只在undo ip source binding命令中生效。

ip-address ip-address：指定接口的IPv4静态绑定表项的IPv4地址。其中ip-address表示绑定的IPv4地址，必须为A、B、C三类地址之一，不能为127.x.x.x和0.0.0.0。

mac-address mac-address：指定接口的IPv4静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

vlan vlan-id：指定接口的IPv4静态绑定表项的VLAN。其中vlan-id表示绑定的VLAN ID，取值范围为1～4094。本参数仅在二层以太网接口视图下支持。

【使用指导】

接口的IPv4静态绑定表项用于过滤接口收到的IPv4报文，或者与ARP Detection功能配合使用检查接入用户的合法性。

加入业务环回组的接口上不能配置IPv4静态绑定表项。

【举例】

# 在接口GigabitEthernet1/0/1上配置一条IPv4静态绑定表项，仅允许源IP地址为192.168.0.1且源MAC地址为0001-0001-0001的报文通过。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0001-0001

【相关命令】

·     display ip source binding

·     ip source binding (system view)

1.1.5  ip source binding (system view)

ip source binding命令用来配置全局的IPv4静态绑定表项。

undo ip source binding命令用来删除已配置的全局IPv4静态绑定表项。

【命令】

ip source binding ip-address ip-address mac-address mac-address

undo ip source binding { all | ip-address ip-address mac-address mac-address }

【缺省情况】

未配置全局IPv4静态绑定表项。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip-address ip-address：指定全局的IPv4静态绑定表项的IPv4地址。其中ip-address表示绑定的IPv4地址，必须为A、B、C三类地址之一，不能为127.x.x.x和0.0.0.0。

mac-address mac-address：指定全局的IPv4静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

all：设备上所有全局的IPv4静态绑定表项，本参数只在undo ip source binding命令中生效。

【使用指导】

全局的IPv4静态绑定表项对设备的所有接口都生效。

【举例】

# 在设备上配置一条全局的IPv4静态绑定表项，允许源IP地址为192.168.0.1且源MAC地址为0001-0001-0001的报文通过。

<Sysname> system-view

[Sysname] ip source binding ip-address 192.168.0.1 mac-address 0001-0001-0001

【相关命令】

·     display ip source binding

·     ip source binding (interface view)

1.1.6  ip verify source

ip verify source命令用来开启IPv4接口绑定功能。

undo ip verify source命令用来关闭IPv4接口绑定功能。

【命令】

ip verify source { ip-address | ip-address mac-address | mac-address }

undo ip verify source

【缺省情况】

接口的IPv4接口绑定功能处于关闭状态。

【视图】

二层以太网端口

VLAN接口

【缺省用户角色】

network-admin

【参数】

ip-address：表示绑定源IPv4地址，即根据接口收到的报文的源IPv4地址对报文进行过滤。

ip-address mac-address：表示绑定源IP地址和MAC地址，即接口上收到的报文的源IPv4地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃。

mac-address：表示绑定源MAC地址，即根据接口收到的报文的源MAC地址对报文进行过滤。

【使用指导】

配置该功能后，IP Source Guard模块会通过静态或动态绑定表项过滤接口收到的用户IP报文，符合绑定表项的用户报文被正常转发，不符合绑定表项的用户报文将被丢弃。

本命令中指定的绑定参数，仅对动态生成的绑定表项有效，是接口使用动态绑定表项过滤报文时关心的报文特征项。如果仅使用静态绑定表项来过滤接口的报文，则本命令仅用于控制是否开启接口的报文过滤功能，接口依据配置的静态绑定表项参数来过滤报文，而不关心本命令中指定的参数。

加入业务环回组的接口上不能配置动态绑定功能。

【举例】

# 在二层以太网接口GigabitEthernet1/0/1上配置IPv4接口绑定功能，根据报文的源IP地址和源MAC地址对接口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] ip verify source ip-address mac-address

# 在Vlan-interface100上配置对报文的源IP和MAC地址的IPv4接口绑定功能，根据报文的源IP地址和源MAC地址对接口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface vlan-interface 100

[Sysname-Vlan-interface100] ip verify source ip-address mac-address

【相关命令】

·     display ip source binding

1.1.7  ipv6 source binding (interface view)

ipv6 source binding命令用来配置接口的IPv6静态绑定表项。

undo ipv6 source binding命令用来删除接口配置的IPv6静态绑定表项。

【命令】

ipv6 source binding { ip-address ipv6-address | ip-address ipv6-address mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

undo ipv6 source binding { all | ip-address ipv6-address | ip-address ipv6-address mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

【缺省情况】

接口上未配置IPv6静态绑定表项。

【视图】

二层以太网端口

VLAN接口

【缺省用户角色】

network-admin

【参数】

all：当前接口所有的IPv6静态绑定表项，本参数只在undo ipv6 source binding命令中生效。

ip-address ipv6-address：指定接口的IPv6静态绑定表项的IPv6地址。其中ipv6-address表示绑定的IPv6地址，不能为全0地址、组播地址、环回地址。

mac-address mac-address：指定接口的IPv6静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

vlan vlan-id：指定接口的IPv6静态绑定表项的VLAN。其中vlan-id表示绑定的VLAN ID，取值范围为1～4094。本参数仅在二层以太网接口视图下支持。

【使用指导】

接口的IPv6静态绑定表项用于过滤接口收到的IPv6报文，或者与ND Detection功能配合使用检查接入用户的合法性。

加入业务环回组的接口上不能配置IPv6静态绑定表项。

【举例】

# 在接口GigabitEthernet1/0/1上配置一条IPv6静态绑定表项，仅允许源IPv6地址为2001::1且源MAC地址为0002-0002-0002的报文通过。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] ipv6 source binding ip-address 2001::1 mac-address 0002-0002-0002

【相关命令】

·     display ipv6 source binding

·     display ipv6 source binding pd

·     ipv6 source binding (system view)

1.1.8  ipv6 source binding (system view)

ipv6 source binding命令用来配置全局的IPv6静态绑定表项。

undo ipv6 source binding命令用来删除已配置的全局IPv6静态绑定表项。

【命令】

ipv6 source binding ip-address ipv6-address mac-address mac-address

undo ipv6 source binding { all | ip-address ipv6-address mac-address mac-address }

【缺省情况】

未配置全局IPv6静态绑定表项。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip-address ipv6-address：指定全局的IPv6静态绑定表项的IPv6地址。其中ipv6-address表示绑定的IPv6地址，不能为全0地址、组播地址、环回地址。

mac-address mac-address：指定全局的IPv6静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F（广播MAC）和组播MAC。

all：设备上所有全局的IPv6静态绑定表项，本参数只在undo ipv6 source binding命令中生效。

【使用指导】

全局的IPv6静态绑定表项对设备的所有接口都生效。

【举例】

# 在设备上配置一条全局的IPv6静态绑定表项，允许源IPv6地址为2001::1且源MAC地址为0002-0002-0002的报文通过。

<Sysname> system-view

[Sysname] ipv6 source binding ip-address 2001::1 mac-address 0002-0002-0002

【相关命令】

·     display ipv6 source binding

·     display ipv6 source binding pd

·     ipv6 source binding (interface view)

1.1.9  ipv6 verify source

ipv6 verify source命令用来开启IPv6接口绑定功能。

undo ipv6 verify source命令用来关闭IPv6接口绑定功能。

【命令】

ipv6 verify source { ip-address | ip-address mac-address | mac-address }

undo ipv6 verify source

【缺省情况】

接口的IPv6接口绑定功能处于关闭状态。

【视图】

二层以太网端口

VLAN接口

【缺省用户角色】

network-admin

【参数】

ip-address：表示绑定源IPv6地址，即根据接口收到的报文的源IPv6地址对报文进行过滤。

ip-address mac-address：表示绑定源IPv6地址和MAC地址，即接口上收到的报文的源IPv6地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃。

mac-address：表示绑定源MAC地址，即根据接口收到的报文的源MAC地址对报文进行过滤。

【使用指导】

配置该功能后，IP Source Guard模块会通过静态或动态绑定表项过滤接口收到的用户IPv6报文，符合绑定表项的用户报文被正常转发，不符合绑定表项的用户报文将被丢弃。

本命令中指定的绑定参数，仅对动态生成的绑定表项有效，是接口使用动态绑定表项过滤报文时关心的报文特征项。如果仅使用静态绑定表项来过滤接口的报文，则本命令仅用于控制是否开启接口的报文过滤功能，接口依据配置的静态绑定表项参数来过滤报文，而不关心本命令中指定的参数。

加入业务环回组的接口上不能配置动态绑定功能。

【举例】

# 在二层以太网接口GigabitEthernet1/0/1上配置IPv6接口绑定功能，根据报文的源IPv6地址和源MAC地址对接口收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address

【相关命令】

·     display ipv6 source binding

·     display ipv6 source binding pd

2 IP Source Guard（无线产品）

2.1  IP Source Guard配置命令

2.1.1  ip verify source

ip verify source命令用来开启IPv4源地址验证功能。

undo ip verify source命令用来关闭IPv4源地址验证功能。

【命令】

ip verify source

undo ip verify source

【缺省情况】

IPv4源地址验证功能处于关闭状态。

【视图】

无线服务模板视图

【缺省用户角色】

network-admin

【使用指导】

无线服务模板下开启IPv4源地址验证功能后，当AP接收到客户端发送的报文后，会查找WLAN snooping绑定表项，如果报文的特征项（MAC地址+IPv4地址）与某个绑定表项匹配，且客户端是通过DHCP方式获取的IPv4地址则转发该报文，否则，丢弃报文。

【举例】

# 开启IPv4过滤功能。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] ip verify source

2.1.2  ipv6 verify source

ipv6 verify source命令用来开启IPv6源地址验证功能。

undo ipv6 verify source命令用来关闭IPv6源地址验证功能。

【命令】

ipv6 verify source

undo ipv6 verify source

【缺省情况】

IPv6源地址验证功能处于关闭状态。

【视图】

无线服务模板视图

【缺省用户角色】

network-admin

【使用指导】

无线服务模板下开启IPv6源地址验证功能后，当AP接收到客户端发送的报文后，会查找WLAN snooping绑定表项，如果报文的特征项（MAC地址+IPv6地址）与某个绑定表项匹配，则转发该报文，否则，丢弃报文。

【举例】

# 开启IPv6过滤功能。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] ipv6 verify source