IP Source guard配置讲明.docx

IPSourceguard配置讲明IPSourceGuard配置讲明IPSourceGuard原文讲明：IPSourceGuard解释-IPSourceGuard是一种二层网络安全技术，应用在一个非路由端口下，能够通过dhcp状态表或手工绑定的ipbinding进行流量的严格限制。应用后，在端口下会被产生一个隐藏的portacl，该acl将限制只要ipsourcebinding的数据流能够流过该端口-IPSourceGuard能够应用在accesss端口，可以以应用在trunk端口下-使用IPSourceGuard时，必须配合ipdhcpsnooping使用，当应用在access端口下时，打开该端口所属VLAN的ipdhcpsnooping，应用在trunk口下时，打开终端连接端口所属VLAN的ipdhcpsnooping-IPSourceGuard能够基于ip地址进行流量过滤只要ip地址符合即可通过；可以以基于ip和mac进行过滤必须ip和mac同时匹配才能够通过，IPSourceGuard配置及步骤讲明下面所有的讲明基于下面拓扑：拓扑讲明：一台核心交换机，提供vlan30，vlan40的网关，通过trunk与接入层交换机连接，所有的配置在核心交换机上完成，接入层交换机上使用了两个vlan(30,40)，user1和user2分别位于vlan30和vlan401.打开dhcpsnooping功能命令：(config)#ipdhcpsnooping2.在需要进行IPSourceGuard的vlan下打开dhcpsnooping功能，针对某个vlan进行施行，假如有多个vlan，则需要打开多个vlan的dhcpsnooping功能这里举例vlan40命令：(config)#ipdhcpsnoopingvlan403.进行IP和MAC地址绑定，例如：命令：ipsourcebinding00C0.9F40.148Evlan4010.30.3.2interfaceGi3/24/*在vlan40内，将00C0.9F40.148E与10.30.3.2进行绑定，并应用到端口gi3/24*/4.在端口启用ipsourceguard参数port-security表示同时基于ip和mac地址过滤命令：ipverifysourcevlandhcp-snoopingport-security/*IOS版本的不同，这命令行可能不一致，有些版本命令行为ipverifysourceport-security*/5.检查命令：showipsourcebindingShowipverifysource6.检查终端ping的情况