目  录

1 IP Source Guard

1.1 IP Source Guard简介

1.1.1 概述

1.1.2 静态配置绑定表项

1.1.3 动态获取绑定表项

1.2 IP Source Guard配置任务简介

1.2.1 配置IPv4端口绑定功能

1.2.2 配置IPv4静态绑定表项

1.2.3 配置IPv4绑定表项数目的最大值

1.3 IP Source Guard显示和维护

1.4 IP Source Guard典型配置举例

1.4.1 IPv4静态绑定表项配置举例

1.4.2 与DHCP snooping配合的IPv4端口绑定功能配置举例

1.4.3 与DHCP relay配合的IPv4端口绑定功能配置举例

1.5 常见配置错误举例

1.5.1 配置静态绑定表项和配置端口绑定功能失败

1 IP Source Guard

1.1  IP Source Guard简介

1.1.1  概述

IP Source Guard功能用于对端口收到的报文进行过滤控制，通常配置在接入用户侧的端口上，以防止非法用户报文通过，从而限制了对网络资源的非法使用（比如非法主机仿冒合法用户IP接入网络），提高了端口的安全性。

如图1-1所示，配置了IP Source Guard功能的端口接收到用户报文后，首先查找与该端口绑定的IP Source Guard绑定表项，如果报文的特征项与某绑定表项匹配，则转发该报文，否则做丢弃处理。IP Source Guard用于过滤报文的特征项包括：源IP地址、源MAC地址和VLAN标签。这些特征项可单独或组合起来与端口进行绑定，形成如下几类绑定表项：

·     IP绑定表项

·     MAC绑定表项

·     IP＋MAC绑定表项

·     IP＋VLAN绑定表项

·     MAC＋VLAN绑定表项

·     IP＋MAC＋VLAN绑定表项

IP Source Guard绑定表项可以通过手工配置和动态获取两种方式生成。

图1-1 IP Source Guard功能示意图

1.1.2  静态配置绑定表项

通过命令行手工配置产生绑定表项，该方式适用于局域网络中主机数较少且主机使用静态配置IP地址的情况，比如在接入某重要服务器的端口上配置绑定表项，仅允许该端口接收或者发送与该服务器通信的报文。

静态绑定是在端口上配置的绑定了IP地址、MAC地址、VLAN以及相关组合的表项，这类表项仅在当前端口上生效。只有端口收到的报文的IP地址、MAC地址、VLAN与端口上配置的绑定表项的各参数完全匹配时，报文才可以在该端口被正常转发，其它报文都不能被转发。

IPv4静态绑定表项用来过滤端口收到的IPv4报文，或者与ARP Detection功能配合使用检查接入用户的合法性。

1.1.3  动态获取绑定表项

根据DHCP的相关表项动态生成绑定表项，该方式通常适用于局域网络中主机较多，并且采用DHCP进行动态主机配置的情况。其原理是每当DHCP为用户分配IP地址而生成一条DHCP表项时，动态绑定功能就相应地增加一条绑定表项以允许该用户访问网络。如果某个用户私自设置IP地址，则不会触发设备生成相应的DHCP表项，因此动态绑定功能也不会增加相应的访问规则来允许该用户访问网络。

IPv4动态绑定是根据DHCP snooping表项或DHCP relay表项动态生成绑定表项来过滤端口收到的IPv4报文。

1.2  IP Source Guard配置任务简介

表1-1 IPv4绑定功能配置任务简介

1.2.1  配置IPv4端口绑定功能

配置了IPv4端口绑定功能的端口，可利用配置的IPv4静态绑定表项和从DHCP模块获取的IPv4动态绑定表项对端口转发的报文进行过滤：

·     IPv4静态绑定表项的配置请参考“1.2.2  配置IPv4静态绑定表项”。

·     在二层以太网端口上，IP Source Guard可与DHCP snooping配合，通过获取IP地址动态分配时产生的DHCP snooping表项来生成动态绑定表项；

·     VLAN接口上，IP Source Guard可与DHCP relay配合，通过获取IP地址跨网段动态分配时产生的DHCP relay表项来生成动态绑定表项。

动态绑定表项中可能包含的内容有：MAC地址、IP地址、VLAN信息、入端口信息及表项类型（DHCP snooping或DHCP relay），其中MAC地址、IP地址和VLAN信息的包含情况由动态绑定配置决定。IP Source Guard把这些动态绑定表项下发到端口后，可对端口上转发的报文进行过滤。

表1-2 配置IPv4端口绑定功能

1.2.2  配置IPv4静态绑定表项

IPv4静态绑定表项只能在配置了IPv4端口绑定功能的端口上生效，IPv4端口绑定功能的具体配置请参见“1.2.1  配置IPv4端口绑定功能”。

表1-3 配置IPv4静态绑定表项

1.2.3  配置IPv4绑定表项数目的最大值

IPv4绑定表项数目的最大值用于限制端口上允许添加的IPv4静态绑定表项和IPv4动态绑定表项的数量总和。当端口上的IPv4绑定表项数目达到指定的最大值时，端口将不再允许添加新的IPv4绑定表项。

表1-4 配置IPv4绑定表项数目的最大值

1.3  IP Source Guard显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后IP Source Guard的运行情况，通过查看显示信息验证配置的效果。

表1-5 IP Source Guard显示和维护

1.4  IP Source Guard典型配置举例

1.4.1  IPv4静态绑定表项配置举例

1. 组网需求

如图1-2所示，Host A与Host B分别与Router B的端口GigabitEthernet3/0/2、GigabitEthernet3/0/1相连；Host C与Router A的端口GigabitEthernet3/0/2相连。Router B接到Router A的端口GigabitEthernet3/0/1上。各主机均使用静态配置的IP地址。

通过在Router A和Router B上配置IPv4静态绑定表项，可以满足以下各项应用需求：

·     Router A的端口GigabitEthernet3/0/2上只允许Host C发送的IP报文通过。

·     Router A的端口GigabitEthernet3/0/1上只允许Host A发送的IP报文通过。

·     Router B的端口GigabitEthernet3/0/2上只允许Host A发送的IP报文通过。

·     Router B的端口GigabitEthernet3/0/1上只允许使用IP地址192.168.0.2/24的主机发送的IP报文通过，即允许Host B更换网卡后仍然可以使用该IP地址与Host A互通。

2. 组网图

图1-2 配置静态绑定表项组网图

3. 配置步骤

(1)     配置Router A

# 在端口GigabitEthernet3/0/2上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 3/0/2

[RouterA-GigabitEthernet3/0/2] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，只允许MAC地址为0001-0203-0405、IP地址为192.168.0.3的Host C发送的IP报文通过端口GigabitEthernet3/0/2。

[RouterA-GigabitEthernet3/0/2] ip source binding ip-address 192.168.0.3 mac-address 0001-0203-0405

[RouterA-GigabitEthernet3/0/2] quit

# 在端口GigabitEthernet3/0/1上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

[RouterA] interface gigabitethernet 3/0/1

[RouterA-GigabitEthernet3/0/1] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，只允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的Host A发送的IP报文通过端口GigabitEthernet3/0/1。

[RouterA] interface gigabitethernet 3/0/1

[RouterA-GigabitEthernet3/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

[RouterA-GigabitEthernet3/0/1] quit

(2)     配置Router B

# 在端口GigabitEthernet3/0/2上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 3/0/2

[RouterB-GigabitEthernet3/0/2] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，只允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的Host A发送的IP报文通过端口GigabitEthernet3/0/2。

[RouterB-GigabitEthernet3/0/2] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

[RouterB-GigabitEthernet3/0/2] quit

# 在GigabitEthernet3/0/1上配置IPv4端口绑定功能，绑定源IP地址。

[RouterB] interface gigabitethernet 3/0/1

[RouterB -GigabitEthernet3/0/1] ip verify source ip-address

# 配置IPv4静态绑定表项，只允许IP地址为192.168.0.2的主机发送的IP报文通过端口GigabitEthernet3/0/1。

[RouterB-GigabitEthernet3/0/1] ip source binding ip-address 192.168.0.2

[RouterB-GigabitEthernet3/0/1] quit

4. 验证配置结果

# 在Router A上显示IPv4静态绑定表项配置成功。

[RouterA] display ip source binding static

Total entries found: 2

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0405    192.168.0.3      N/A    GE3/0/2             Static

 0001-0203-0406    192.168.0.1      N/A    GE3/0/1             Static

# 在Router B上显示IPv4静态绑定表项配置成功。

[RouterB] display ip source binding static

Total entries found: 2

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0406    192.168.0.1      N/A    GE3/0/2             Static

 N/A               192.168.0.2      N/A    GE3/0/1             Static

1.4.2  与DHCP snooping配合的IPv4端口绑定功能配置举例

1. 组网需求

Router通过端口GigabitEthernet3/0/1和GigabitEthernet3/0/2分别与客户端Host和DHCP server相连。

具体应用需求如下：

·     Host通过DHCP server获取IP地址。

·     Router上使能DHCP snooping功能，记录Host的DHCP snooping表项。

·     在端口GigabitEthernet3/0/1上启用IPv4端口绑定功能，利用记录的DHCP snooping表项过滤端口转发的报文，仅允许通过DHCP server动态获取IP地址的客户端可以接入网络。

2. 组网图

图1-3 配置与DHCP snooping配合的IPv4端口绑定功能组网图

3. 配置步骤

(1)     配置DHCP snooping

# 开启DHCP snooping功能。

<Router> system-view

[Router] dhcp-snooping

# 设置与DHCP server相连的端口GigabitEthernet3/0/2为信任端口。

[Router] interface gigabitethernet3/0/2

[Router-GigabitEthernet3/0/2] dhcp-snooping trust

[Router-GigabitEthernet3/0/2] quit

(2)     配置IPv4端口绑定功能

# 配置端口GigabitEthernet3/0/1的IPv4端口绑定功能，绑定源IP地址和MAC地址。

[Router] interface gigabitethernet 3/0/1

[Router-GigabitEthernet3/0/1] ip verify source ip-address mac-address

[Router-GigabitEthernet3/0/1] quit

4. 验证配置结果

# 显示端口GigabitEthernet3/0/1上的绑定表项信息。

[Router] display ip source binding

Total entries found: 1

 MAC Address       IP Address       VLAN   Interface            Type

 0001-0203-0406    192.168.0.1      1      GE3/0/1             DHCP-SNP

# 显示DHCP snooping已有的动态表项，查看其是否和端口GigabitEthernet3/0/1获取的动态表项一致。

[Router] display dhcp-snooping

DHCP snooping is enabled.

The client binding table for all untrusted ports.

Type : D--Dynamic , S--Static

Type IP Address      MAC Address    Lease        VLAN Interface

==== =============== ============== ============ ==== =================

D    192.168.0.1     0001-0203-0406 86335        1    GigabitEthernet3/0/1

从以上显示信息可以看出，端口GigabitEthernet3/0/1在配置IPv4端口绑定功能之后根据获取的DHCP snooping表项产生了动态绑定表项。

1.4.3  与DHCP relay配合的IPv4端口绑定功能配置举例

1. 组网需求

Router通过接口GigabitEthernet3/0/1和GigabitEthernet3/0/2分别与客户端Host和DHCP server相连。Router上使能DHCP relay功能。

具体应用需求如下：

·     Host（MAC地址为0001-0203-0406）通过DHCP relay从DHCP server上获取IP地址。

·     在接口GigabitEthernet3/0/1上启用IPv4端口绑定功能，利用Router上生成的DHCP relay表项过滤端口转发的报文，仅允许通过DHCP server动态获取IP地址的客户端可以接入网络。

2. 组网图

图1-4 配置与DHCP relay配合的IPv4端口绑定功能组网图

3. 配置步骤

(1)     配置DHCP relay

# 配置各接口的IP地址（略）。

# 开启DHCP relay功能。

<Router> system-view

[Router] dhcp enable

# 配置DHCP服务器的地址。

[Router] dhcp relay server-group 1 ip 10.1.1.1

# 配置接口GigabitEthernet3/0/1工作在DHCP relay模式。

[Router] interface gigabitethernet 3/0/1

[Router-GigabitEthernet3/0/1] dhcp select relay

# 配置接口GigabitEthernet3/0/1对应服务器组1。

[Router-GigabitEthernet3/0/1] dhcp relay server-select 1

[Router-GigabitEthernet3/0/1] quit

(2)     配置IPv4端口绑定功能

# 在接口GigabitEthernet3/0/1上配置IPv4端口绑定功能，绑定源IP地址和MAC地址。

[Router] interface gigabitethernet 3/0/1

[Router-GigabitEthernet3/0/1] ip verify source ip-address mac-address

[Router-GigabitEthernet3/0/1] quit

4. 验证配置结果

# 显示生成的IPv4绑定表项信息。

[Router] display ip source binding

Total entries found: 1

 MAC Address       IP Address     VLAN   Interface              Type

 0001-0203-0406    192.168.0.1    N/A    GE3/0/1                 DHCP-RLY

1.5  常见配置错误举例

1.5.1  配置静态绑定表项和配置端口绑定功能失败

1. 故障现象

在端口上配置静态绑定表项、配置端口绑定功能均失败。

2. 故障分析

IP Source Guard功能不能在加入聚合组的端口上配置。

3. 处理过程

将端口退出已加入的聚合组。