目  录

1 IP Source Guard

1.1 IP Source Guard简介

1.1.1 概述

1.1.2 静态配置绑定表项

1.1.3 动态获取绑定表项

1.1.4 路由协议同步绑定表项

1.2 IP Source Guard配置限制和指导

1.3 IP Source Guard配置任务简介

1.4 配置IPv4绑定功能

1.4.1 配置IPv4接口绑定功能

1.4.2 配置IPv4静态绑定表项

1.4.3 配置IPv4报文免过滤条件

1.4.4 开启IPv4接口绑定告警功能

1.5 配置IPv6绑定功能

1.5.1 配置IPv6接口绑定功能

1.5.2 配置IPv6静态绑定表项

1.5.3 配置接口上IPv6绑定表项的最大数目

1.5.4 开启IPv6接口绑定告警功能

1.6 开启IP Source Guard告警功能

1.7 IP Source Guard显示和维护

1.8 IP Source Guard典型配置举例

1.8.1 IPv4静态绑定表项配置举例

1.8.2 与DHCP Snooping配合的IPv4动态绑定功能配置举例

1.8.3 与DHCP中继配合的IPv4动态绑定功能配置举例

1.8.4 IPv6静态绑定表项配置举例

1.8.5 与DHCPv6 Snooping配合的IPv6动态绑定表项配置举例

1.8.6 与DHCPv6中继配合的IPv6动态绑定功能配置举例

 

1 IP Source Guard

1.1  IP Source Guard简介

1.1.1  概述

IP Source Guard功能用于对接口收到的报文进行过滤控制，通常配置在接入用户侧的接口上，以防止非法用户报文通过，从而限制了对网络资源的非法使用（比如非法主机仿冒合法用户IP接入网络），提高了接口的安全性。

如图1-1所示，配置了IP Source Guard功能的接口接收到用户报文后，首先查找与该接口绑定的表项（简称为绑定表项），如果报文的信息与某绑定表项匹配，则转发该报文；若匹配失败，则查看是否配置了全局静态绑定表项，如果配置了此类表项，且报文的信息与表项匹配，则转发该报文，否则丢弃该报文。IP Source Guard可以根据报文的源IP地址、源MAC地址对报文进行过滤。报文的这些特征项可单独或组合起来与接口进行绑定，主要形成如下几类绑定表项：

·     IP绑定表项

·     MAC绑定表项

·     IP＋MAC绑定表项

IP Source Guard绑定表项可以通过手工配置和动态获取两种方式生成。

图1-1 IP Source Guard功能示意图

 

 

1.1.2  静态配置绑定表项

静态配置绑定表项是指通过命令行手工配置绑定表项，该方式适用于局域网络中主机数较少且主机使用静态配置IP地址的情况，比如在接入某重要服务器的接口上配置绑定表项，仅允许该接口接收与该服务器通信的报文。

IPv4静态绑定表项用于过滤接口收到的IPv4报文，或者与ARP Detection功能配合使用检查接入用户的合法性；IPv6静态绑定表项用于过滤接口收到的IPv6报文，或者与ND Detection功能配合使用检查接入用户的合法性。ARP Detection功能的详细介绍请参见“安全配置指导”中的“ARP攻击防御”。ND Detection功能的详细介绍请参见“安全配置指导”中的“ND攻击防御”。

静态绑定表项又包括全局静态绑定表项和接口静态绑定表项两种类型，这两种绑定表项的作用范围不同。

1. 全局静态绑定表项

全局静态绑定表项是在系统视图下配置的绑定了IP地址和MAC地址的表项，这类表项在设备的所有端口上生效。全局静态绑定表项适用于防御主机仿冒攻击，可有效过滤攻击者通过仿冒合法用户主机的IP地址或者MAC地址向设备发送的伪造IP报文。

2. 接口静态绑定表项

端口静态绑定是在端口上配置的绑定了IP地址、MAC地址以及相关组合的表项，这类表项仅在当前端口上生效。只有端口收到的报文的IP地址、MAC地址与端口上配置的绑定表项的各参数完全匹配时，报文才可以在该端口被正常转发，其它报文都不能被转发，该表项适用于检查端口上接入用户的合法性。

1.1.3  动态获取绑定表项

动态获取绑定表项是指通过获取其它模块生成的用户信息来生成绑定表项。目前，可为IP Source Guard提供表项信息的模块包括ARP Snooping、802.1X、DHCP Snooping、DHCPv6 Snooping、DHCP中继、DHCPv6中继、DHCP服务器、ND Snooping模块。

这种动态获取绑定表项的方式，通常适用于局域网络中主机较多的情况。以主机使用DHCP动态获取IP地址的情况为例，其原理是每当局域网内的主机通过DHCP服务器获取到IP地址时，DHCP服务器会生成一条DHCP服务器表项，DHCP中继会生成一条DHCP中继表项，DHCP Snooping会生成一条DHCP Snooping表项。IP Source Guard可以根据以上任何一条表项相应地增加一条IP Source Guard绑定表项来判断是否允许该用户访问网络。如果某个用户私自设置IP地址，则不会触发设备生成相应的DHCP表项，IP Source Guard也不会增加相应的绑定表项，因此该用户的报文将会被丢弃。

1. IPv4动态绑定功能

在配置了IPv4动态绑定功能的接口上，IP Source Guard通过与不同的模块配合动态生成绑定表项：

·     在二层以太网端口或二层聚合接口上，IP Source Guard可与DHCP Snooping配合，通过主机动态获取IP地址时产生的DHCP Snooping表项来生成动态绑定表项，并用于过滤报文。

·     在三层以太网接口或VLAN接口上，IP Source Guard可与DHCP中继配合，通过主机跨网段获取IP地址时产生的DHCP中继表项来生成动态绑定表项，并用于过滤报文。

·     在三层以太网接口或VLAN接口上，IP Source Guard可与ARP泛洪抑制配合，表项上报给控制器，以便控制器了解用户的上下线情况，而不直接用于过滤报文。

·     在二层以太网端口或二层聚合接口上，IP Source Guard可与802.1X配合，通过获取认证用户的信息来生成动态绑定表项，用于配合其它模块提供相关的安全服务，而不直接用于过滤报文。

·     在二层以太网端口或二层聚合接口上，IP Source Guard可与ARP Snooping配合，通过获取的ARP Snooping表项来生成动态绑定表项，并用于过滤报文。

·     在三层以太网接口或VLAN接口上，IP Source Guard可与DHCP服务器配合，通过DHCP 服务器为主机动态分配IP地址时记录的用户信息来生成动态绑定表项，用于配合其它模块（例如授权ARP）提供相关的安全服务，而不直接用于过滤报文。

802.1X功能的详细介绍请参见“安全配置指导”中的“802.1X”。ARP Snooping功能的详细介绍请参见“三层技术-IP业务配置指导”中的“ARP”。ARP泛洪抑制功能的详细介绍请参见“VXLAN配置指导”中的“VXLAN”。DHCP Snooping功能的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCP Snooping”。DHCP中继功能的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCP中继”。DHCP服务器功能的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCP服务器”。

2. IPv6动态绑定功能

在配置了IPv6动态绑定功能的接口上，IP Source Guard通过与不同模块配合动态生成绑定表项：

·     在二层以太网端口上，IP Source Guard可与DHCPv6 Snooping配合，通过主机动态获取IP地址时产生的DHCPv6 Snooping表项来生成动态绑定表项，并用于过滤报文。

·     在三层以太网接口或VLAN接口上，IP Source Guard可与DHCPv6中继/ND RA配合，通过主机跨网段获取IPv6地址时产生的DHCPv6中继/ND RA表项来生成动态绑定表项，并用于过滤报文。

·     在三层以太网接口或VLAN接口上，IP Source Guard可与ND泛洪抑制或DHCPv6服务器配合，表项上报给控制器，以便控制器了解用户的上下线情况，而不直接用于过滤报文。

·     在二层以太网端口上，IP Source Guard可与ND Snooping配合，通过获取的ND Snooping表项来生成动态绑定表项，并用于过滤报文。

·     在二层以太网端口上，IP Source Guard可与802.1X配合，通过获取认证用户的信息来生成动态绑定表项，用于配合其它模块提供相关的安全服务，而不直接用于过滤报文。

802.1X功能的详细介绍请参见“安全配置指导”中的“802.1X”。DHCPv6 Snooping功能的详细介绍请参见“三层技术-IP业务配置指导”的“DHCPv6 Snooping”。ND Snooping功能的详细介绍请参见“三层技术-IP业务配置指导”的“IPv6基础”。ND RA功能的详细介绍请参见“三层技术-IP业务配置指导”的“IPv6邻居发现”。ND泛洪抑制功能的详细介绍请参见“VXLAN配置指导”中的“VXLAN”。DHCPv6中继功能的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCPv6中继”。DHCPv6服务器功能的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCPv6服务器”。

1.1.4  路由协议同步绑定表项

设备除了支持静态配置绑定表项和动态获取绑定表项，还可以通过路由协议（如BGP协议）从其他设备同步表项信息，这类表项称为远端绑定表项。缺省情况下，远端绑定表项不存在出接口信息，所以设备无法使用远端绑定表项过滤报文。当远端设备下的用户漫游到本设备下后，本设备可以根据用户的ARP/ND表项学习到远端绑定表项的接口信息，然后生成对应的本地绑定表项。IP Source Guard就可以使用生成的本地绑定表项中的信息过滤接口收到的报文。

关于BGP的详细介绍，请参见“三层技术—IP路由配置指导”中的”BGP概述”。

1.2  IP Source Guard配置限制和指导

配置IP Source Guard功能时需要注意：

·     加入业务环回组的接口上不能配置IP Source Guard功能，反之亦然。

·     聚合口和聚合成员口不能同时配置IP Source Guard功能，在聚合口配置IP Source Guard功能时，需要先取消成员口上的IP Source Guard配置。

·     二层以太网端口配置1:1及N:1 VLAN映射后支持IP Source Guard表项绑定原始VLAN，聚合口配置VLAN映射后不支持IP Source Guard表项绑定原始VLAN。VLAN映射的详细介绍请参见“二层技术-以太网交换配置指导”中的“VLAN映射”。

1.3  IP Source Guard配置任务简介

表1-1 IPv4绑定功能配置任务简介

配置任务	说明	详细配置
配置IPv4接口绑定功能	必选	1.4.1
配置IPv4静态绑定表项	可选	1.4.2
配置IPv4报文免过滤条件	可选	1.4.3
开启IPv4接口绑定告警功能	可选	1.4.4

 

表1-2 IPv6绑定功能配置任务简介

配置任务	说明	详细配置
配置IPv6接口绑定功能	必选	1.5.1
配置IPv6静态绑定表项	可选	1.5.2
配置接口上IPv6绑定表项的最大数目	可选	1.5.3
开启IPv6接口绑定告警功能	可选	1.5.4

 

1.4  配置IPv4绑定功能

1.4.1  配置IPv4接口绑定功能

配置了IPv4接口绑定功能的接口，将打开根据绑定表项过滤报文的开关，并利用配置的IPv4静态绑定表项和从其它模块获取的IPv4动态绑定表项对接口转发的报文进行过滤或者配合其它模块提供相关的安全服务。

(1)     IPv4静态绑定表项中指定的信息均用于IP Source Guard过滤接口收到的报文，具体配置请参考“1.4.2  配置IPv4静态绑定表项”。

(2)     IPv4动态绑定表项中可能包含的内容有：MAC地址、IP地址、VLAN信息、入接口信息及表项类型（DHCP Snooping、DHCP中继等）。IP Source Guard依据该表项中的哪些信息过滤接口收到的报文，由IPv4接口绑定配置决定：

·     若接口上配置动态绑定功能时绑定了源IP地址和MAC地址，则只有接口上收到的报文的源IPv4地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃；

·     若接口上配置动态绑定功能时仅绑定了源IP地址，则只有该接口收到的报文的源IPv4地址与某动态绑定表项匹配，该报文才会被正常转发，否则将被丢弃；

·     若接口上配置动态绑定功能时仅绑定了源MAC地址，则只有该接口收到的报文的源MAC地址与某动态绑定表项匹配，该报文才会被正常转发，否则将被丢弃。

要实现IPv4动态绑定功能，请保证网络中的DHCP Snooping、DHCP中继、DHCP服务器配置有效且工作正常。

表1-3 配置IPv4接口绑定功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	可支持二层以太网端口/二层聚合接口/三层以太网接口/VLAN接口
开启IPv4接口绑定功能	ip verify source { ip-address | ip-address mac-address | mac-address }	缺省情况下，接口的IPv4接口绑定功能处于关闭状态 IPv4接口绑定功能可多次配置，最后一次的配置生效

 

1.4.2  配置IPv4静态绑定表项

IPv4静态绑定表项包括全局的IPv4静态绑定表项和接口的IPv4静态绑定表项。

接口的IPv4静态绑定表项和动态绑定表项的优先级高于全局的IPv4静态绑定表项，即接口优先使用本接口上的静态或动态绑定表项对收到的报文进行匹配，若匹配失败，再与全局的静态绑定表项进行匹配。

1. 配置全局的IPv4静态绑定表项

全局的IPv4静态绑定表项中定义了接口允许转发的报文的IP地址和MAC地址，对设备的所有接口都生效。

目前支持在接口下配置IPv4接口绑定功能，接口下配置的IPv4接口绑定功能只对当前接口生效。

表1-4 配置全局的IPv4静态绑定表项

操作	命令	说明
进入系统视图	system-view	-
配置全局的IPv4静态绑定表项	ip source binding ip-address ip-address mac-address mac-address	缺省情况下，未配置全局IPv4静态绑定表项

 

2. 配置接口的IPv4静态绑定表项

表1-5 配置接口的IPv4静态绑定表项

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	可支持二层以太网端口/二层聚合接口/三层以太网接口/VLAN接口
配置接口的IPv4静态绑定表项	ip source binding { ip-address ip-address | ip-address ip-address mac-address mac-address | mac-address mac-address }	缺省情况下，接口上未配置IPv4静态绑定表项

 

 

1.4.3  配置IPv4报文免过滤条件

在接口上配置了IPv4绑定功能后，接口上会下发默认规则，即丢弃所有无绑定表项的不合法用户的IPv4报文。为便于用户灵活控制报文过滤规则，可以通过配置IPv4报文免过滤条件（目前只能指定免过滤VLAN），来放行指定VLAN下的所有IPv4报文。

表1-6 配置IPv4报文免过滤条件

操作	命令	说明
进入系统视图	system-view	-
配置IPv4报文免过滤条件	ip verify source exclude vlan start-vlan-id [ to end-vlan-id ]	缺省情况下，未配置免过滤条件

 

 

1.4.4  开启IPv4接口绑定告警功能

1. 功能简介

在接口上配置IPv4接口绑定功能后，接口会根据绑定表项过滤掉非法报文。在配置本功能后，当每秒过滤掉的报文数大于或等于指定的告警阈值时，设备会生成超出告警阈值的日志信息；当每秒过滤掉的报文数恢复到低于指定的告警阈值，设备会生成问题解除日志信息。

2. 开启IPv4接口绑定告警功能

表1-7 开启IPv4接口绑定告警功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
开启IPv4接口绑定告警功能	ip verify source alarm [ alarm-threshold ]	缺省情况下，IPv4接口绑定告警功能处于关闭状态

 

1.5  配置IPv6绑定功能

1.5.1  配置IPv6接口绑定功能

配置了IPv6接口绑定功能的接口，将打开根据绑定表项过滤报文的开关，并利用配置的IPv6静态绑定表项和从其他模块获取的IPv6动态绑定表项对接口转发的报文进行过滤。

(1)     IPv6静态绑定表项中指定的信息均用于IP Source Guard过滤接口收到的报文，具体配置请参考“1.5.2  配置IPv6静态绑定表项”。

(2)     IPv6动态绑定表项中可能包含的信息有：MAC地址、IP地址、VLAN信息、入接口信息及表项类型（DHCPv6 Snooping、DHCPv6 Relay等）。IP Source Guard依据该表项中的哪些信息过滤接口收到的报文，由IPv6接口绑定配置决定：

·     若接口上配置动态绑定功能时绑定了源IP地址和MAC地址，则只有接口上收到的报文的源IPv6地址和源MAC地址都与某动态绑定表项匹配，该报文才能被正常转发，否则将被丢弃；

·     若接口上配置动态绑定功能时仅绑定了源IP地址，则只有该接口收到的报文的源IPv6地址与某动态绑定表项匹配，该报文才会被正常转发，否则将被丢弃；

·     若接口上配置动态绑定功能时仅绑定了源MAC地址，则只有该接口收到的报文的源MAC地址与某动态绑定表项匹配，该报文才会被正常转发，否则将被丢弃。

2. 配置限制和指导

要实现IPv6动态绑定功能，请保证网络中的DHCPv6 Snooping、DHCPv6 Relay、ND Snooping配置有效且工作正常。

目前支持在接口下配置IPv6接口绑定功能，接口下配置的IPv6接口绑定功能只对当前接口生效。

表1-8 配置IPv6接口绑定功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	可支持二层以太网端口/二层聚合接口/三层以太网接口/VLAN接口
配置IPv6接口绑定功能	ipv6 verify source { ip-address | ip-address mac-address | mac-address }	缺省情况下，接口的IPv6接口绑定功能处于关闭状态 IPv6接口绑定功能可多次配置，最后一次的配置生效。

 

1.5.2  配置IPv6静态绑定表项

IPv6静态绑定功能包括全局的IPv6静态绑定功能和接口的IPv6静态绑定功能。

接口的IPv6静态绑定表项和IPv6动态绑定表项的优先级高于全局的IPv6静态绑定表项，即接口优先使用本接口上的IPv6静态或动态绑定表项对收到的报文进行匹配，若匹配失败，再与全局的IPv6静态绑定表项进行匹配。

1. 配置全局的IPv6静态绑定表项

全局的IPv6静态绑定表项中定义了接口允许转发的报文的IPv6地址和MAC地址，对设备的所有接口都生效。

表1-9 配置全局的IPv6静态绑定表项

操作	命令	说明
进入系统视图	system-view	-
配置全局的IPv6静态绑定表项	ipv6 source binding ip-address ipv6-address mac-address mac-address	缺省情况下，未配置全局IPv6静态绑定表项

 

2. 配置接口的IPv6静态绑定表项

表1-10 配置接口的IPv6静态绑定表项

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	可支持二层以太网端口/二层聚合接口/三层以太网接口/VLAN接口
配置接口的IPv6静态绑定表项	ipv6 source binding { ip-address ipv6-address | ip-address ipv6-address mac-address mac-address | mac-address mac-address }	缺省情况下，未配置接 口上IPv6静态绑定表项

 

 

1.5.3  配置接口上IPv6绑定表项的最大数目

1. 功能简介

通过配置接口上IPv6绑定表项的最大数目，可以限制接口上允许添加的IPv6静态绑定表项和IPv6动态绑定表项数量之和的最大值。当接口上表项数目达到最大绑定表项数目时，该接口不会继续添加新的IPv6绑定表项。

2. 配置接口上IPv6绑定表项的最大数目

表1-11 配置接口上IPv6绑定表项的最大数目

操作	命令	说明
进入系统视图	system-view	-
进入端口视图	interface interface-type interface-number	仅支持二层以太网端口
配置接口上IPv6绑定表项的最大数目	ipv6 verify source max-entries number	缺省情况下，不限制接口上IPv6绑定表项的最大数目

1.5.4  开启IPv6接口绑定告警功能

1. 功能简介

在接口上配置IPv6接口绑定功能后，接口会根据绑定表项过滤掉非法报文。在配置本功能后，当每秒过滤掉的报文数大于或等于指定的告警阈值时，设备会生成超出告警阈值的日志信息；当每秒过滤掉的报文数恢复到低于指定的告警阈值，设备会生成问题解除日志信息。

2. 开启IPv6接口绑定告警功能

表1-12 开启IPv6接口绑定告警功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
开启IPv6接口绑定告警功能	ipv6 verify source alarm [ alarm-threshold ]	缺省情况下，IPv6接口绑定告警功能处于关闭状态

 

1.6  开启IP Source Guard告警功能

1. 功能简介

开启IP Source Guard模块的告警功能后，IP Source Guard模块会生成告警信息，用于报告该模块的重要事件。例如，当每秒接口丢弃的报文数大于等于告警阈值时，设备会发送告警信息；当每秒丢弃的报文数从大于等于告警阈值恢复到低于告警阈值时，设备会再次发送告警恢复信息。生成的告警信息将发送到设备的SNMP模块，请通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。

有关SNMP和信息中心的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”和“信息中心”。

2. 开启IP Source Guard告警功能

表1-13 开启IP Source Guard告警功能

操作	命令	说明
进入系统视图	system-view	-
开启IP Source Guard告警功能	snmp-agent trap enable ipsg [ drop-threshold ]	缺省情况下，IP Source Guard告警功能均处于开启状态

 

1.7  IP Source Guard显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后IP Source Guard的运行情况，通过查看显示信息验证配置的效果。

表1-14 IP Source Guard显示和维护（IPv4）

操作	命令
显示IPv4绑定表项信息（独立运行模式）	display ip source binding [ static | [ vpn-instance vpn-instance-name ] [ arp-snooping-vlan | arp-snooping-vsi | dhcp-relay | dhcp-server | dhcp-snooping | dot1x | remote ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]
显示IPv4绑定表项信息（IRF模式）	display ip source binding [ static | [ vpn-instance vpn-instance-name ] [ arp-snooping-vlan | arp-snooping-vsi | dhcp-relay | dhcp-server | dhcp-snooping | dot1x | remote ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ]
显示路由协议模块关注的IPv4本地绑定表项信息（独立运行模式）	display ip source binding-local [ interface interface-type interface-number ] [ dhcp-relay ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ slot slot-number ]
显示路由协议模块关注的IPv4本地绑定表项信息	display ip source binding-local [ interface interface-type interface-number ] [ dhcp-relay ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ chassis chassis-number slot slot-number ]
显示路由协议模块同步的IPv4远端绑定表项信息（独立运行模式）	display ip source binding-remote [ router-id router-id ] [ dhcp-relay ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ slot slot-number ]
显示路由协议模块同步的IPv4远端绑定表项信息	display ip source binding-remote [ router-id router-id ] [ dhcp-relay ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ chassis chassis-number slot slot-number ]
显示路由协议模块关注的IPv4绑定表项统计信息	display ip source binding statistics
显示对IPv4报文免过滤条件的生效情况（独立运行模式）	display ip verify source excluded [ vlan start-vlan-id [ to end-vlan-id ] ] [ slot slot-number ]
显示对IPv4报文免过滤条件的生效情况（IRF模式）	display ip verify source excluded [ vlan start-vlan-id [ to end-vlan-id ] ] [ chassis chassis-number slot slot-number ]

 

表1-15 IP Source Guard显示和维护（IPv6）

操作	命令
显示IPv6地址绑定表项信息（独立运行模式）	display ipv6 source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcpv6-relay | dhcpv6-server | dhcpv6-snooping | nd-snooping-vlan | nd-snooping-vsi | remote ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]
显示IPv6地址绑定表项信息（IRF模式）	display ipv6 source binding [ static | [ vpn-instance vpn-instance-name ] [ dhcpv6-relay | dhcpv6-server | dhcpv6-snooping | nd-snooping-vlan | nd-snooping-vsi | remote  ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ]
显示路由协议模块关注的IPv6本地绑定表项信息（独立运行模式）	display ipv6 source binding-local [ interface interface-type interface-number ] [ dhcpv6-relay | nd-snooping-vlan ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ slot slot-number ]
显示路由协议模块关注的IPv6本地绑定表项信息	display ipv6 source binding-local [ interface interface-type interface-number ] [ dhcpv6-relay | nd-snooping-vlan ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ chassis chassis-number slot slot-number ]
显示路由协议模块同步的IPv6远端绑定表项信息（独立运行模式）	display ipv6 source binding-remote [ router-id router-id ] [ dhcpv6-relay | nd-snooping-vlan] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ slot slot-number ]
显示路由协议模块同步的IPv6远端绑定表项信息	display ipv6 source binding-remote [ router-id router-id ] [ dhcpv6-relay | nd-snooping-vlan ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ chassis chassis-number slot slot-number ]
显示IPv6前缀绑定表项信息（独立运行模式）	display ipv6 source binding pd [ vpn-instance vpn-instance-name ] [ prefix prefix/prefix-length ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]
显示IPv6前缀绑定表项信息（IRF模式）	display ipv6 source binding pd [ vpn-instance vpn-instance-name ] [ prefix prefix/prefix-length ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ]
显示路由协议模块关注的IPv6绑定表项统计信息	display ipv6 source binding statistics

 

1.8  IP Source Guard典型配置举例

1.8.1  IPv4静态绑定表项配置举例

1. 组网需求

如图1-2所示，Host A、Host B分别与Device A的接口GigabitEthernet1/0/2、GigabitEthernet1/0/1相连。各主机均使用静态配置的IP地址。

要求通过在Device A上配置IPv4静态绑定表项，满足以下各项应用需求：

·     Device A上的所有接口都允许Host A发送的IP报文通过。

·     Device A的接口GigabitEthernet1/0/1上允许Host B发送的IP报文通过。

2. 组网图

图1-2 配置静态表项组网图

‌

3. 配置步骤

 

# 配置Device A各接口的IP地址（略）。

# 在接口GigabitEthernet1/0/2上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] ip verify source ip-address mac-address

[DeviceA-GigabitEthernet1/0/2] quit

# 配置IPv4静态绑定表项，在Device A上的所有接口都允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的数据终端Host A发送的IP报文通过。

[DeviceA] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

# 在接口GigabitEthernet1/0/1上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip verify source ip-address mac-address

# 配置IPv4静态绑定表项，在Device A的GigabitEthernet1/0/1上允许MAC地址为0001-0203-0407的数据终端Host B发送的IP报文通过。

[DeviceA-GigabitEthernet1/0/1] ip source binding mac-address 0001-0203-0407

[DeviceA-GigabitEthernet1/0/1] quit

4. 验证配置

# 在Device A上显示IPv4静态绑定表项，可以看出以上配置成功。

<DeviceA> display ip source binding static

Total entries found: 2

IP address      MAC address    Interface                VLAN Type

192.168.0.1     0001-0203-0406 N/A                      N/A  Static

N/A             0001-0203-0407 GE1/0/1                  N/A  Static

1.8.2  与DHCP Snooping配合的IPv4动态绑定功能配置举例

1. 组网需求

DHCP客户端通过Device的接口GigabitEthernet1/0/1接入网络，通过DHCP服务器获取IPv4地址。

具体应用需求如下：

·     Device上使能DHCP Snooping功能，保证客户端从合法的服务器获取IP地址，且记录客户端IPv4地址及MAC地址的绑定关系。

·     在接口GigabitEthernet1/0/1上启用IPv4动态绑定功能，利用动态生成的DHCP Snooping表项过滤接口接收的报文，只允许通过DHCP服务器动态获取IP地址的客户端接入网络。DHCP服务器的具体配置请参见“三层技术-IP业务配置指导”中的“DHCP服务器”。

2. 组网图

图1-3 配置与DHCP Snooping配合的IPv4动态绑定功能组网图

‌

3. 配置步骤

(1)     配置DHCP Snooping

# 配置各接口的IP地址（略）。

# 开启DHCP Snooping功能。

<Device> system-view

[Device] dhcp snooping enable

# 设置与DHCP服务器相连的接口GigabitEthernet1/0/2为信任接口。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] dhcp snooping trust

[Device-GigabitEthernet1/0/2] quit

(2)     配置IPv4接口绑定功能

# 开启接口GigabitEthernet1/0/1的IPv4接口绑定功能，绑定源IP地址和MAC地址，并启用接口的DHCP Snooping 表项记录功能。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip verify source ip-address mac-address

[Device-GigabitEthernet1/0/1] dhcp snooping binding record

[Device-GigabitEthernet1/0/1] quit

4. 验证配置

# 显示接口GigabitEthernet1/0/1从DHCP Snooping获取的动态表项。

[Device] display ip source binding dhcp-snooping

Total entries found: 1

IP address      MAC address    Interface                VLAN Type

192.168.0.1     0001-0203-0406 GE1/0/1                  1    DHCP snooping

接口GigabitEthernet1/0/1在配置IPv4接口绑定功能之后，会根据该表项进行报文过滤。

1.8.3  与DHCP中继配合的IPv4动态绑定功能配置举例

1. 组网需求

Switch通过接口Vlan-interface100和Vlan-interface200分别与客户端Host和DHCP服务器相连。Switch上使能DHCP中继功能。

具体应用需求如下：

·     Host通过DHCP中继从DHCP服务器上获取IP地址。

·     在接口Vlan-interface100上启用IPv4动态绑定功能，利用Switch上生成的DHCP中继表项，过滤接口接收的报文。

2. 组网图

图1-4 配置动态绑定功能组网图

 

3. 配置步骤

(1)     配置IPv4动态绑定功能

# 配置各接口的IP地址（略）。

# 在接口Vlan-interface100上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。

<Switch> system-view

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip verify source ip-address mac-address

[Switch-Vlan-interface100] quit

(2)     配置DHCP中继

# 开启DHCP服务。

[Switch] dhcp enable

# 开启DHCP中继用户地址表项记录功能。

[Switch] dhcp relay client-information record

# 配置接口Vlan-interface100工作在DHCP中继模式。

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] dhcp select relay

# 指定DHCP服务器的地址。

[Switch-Vlan-interface100] dhcp relay server-address 10.1.1.1

[Switch-Vlan-interface100] quit

4. 验证配置

# 显示生成的IPv4动态绑定表项信息。

[Switch] display ip source binding dhcp-relay

Total entries found: 1

IP address      MAC address    Interface                VLAN Type

192.168.0.1     0001-0203-0406 Vlan100                  100  DHCP relay

1.8.4  IPv6静态绑定表项配置举例

1. 组网需求

IPv6客户端通过Device的接口GigabitEthernet1/0/1接入网络。要求在Device上配置IPv6静态绑定表项，使得接口GigabitEthernet1/0/1上只允许Host（MAC地址为0001-0202-0202、IPv6地址为2001::1）发送的IPv6报文通过。

2. 组网图

图1-5 配置IPv6静态绑定表项组网图

‌

3. 配置步骤

# 在接口GigabitEthernet1/0/1上开启IPv6接口绑定功能，绑定源IP地址和MAC地址。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address

# 在接口GigabitEthernet1/0/1上配置IPv6静态绑定表项，绑定源IP地址和MAC地址，只允许IPv6地址为2001::1且MAC地址为00-01-02-02-02-02的IPv6报文通过。

[Device-GigabitEthernet1/0/1] ipv6 source binding ip-address 2001::1 mac-address 0001-0202-0202

[Device-GigabitEthernet1/0/1] quit

4. 验证配置

# 在Device上显示IPv6静态绑定表项，可以看出以上配置成功。

[Device] display ipv6 source binding static

Total entries found: 1

IPv6 address         MAC address    Interface               VLAN Type

2001::1              0001-0202-0202 GE1/0/1                 N/A  Static

1.8.5  与DHCPv6 Snooping配合的IPv6动态绑定表项配置举例

1. 组网需求

DHCPv6客户端通过Device的接口GigabitEthernet1/0/1接入网络，通过DHCPv6服务器获取IPv6地址。

具体应用需求如下：

·     Device上使能DHCPv6 Snooping功能，保证客户端从合法的服务器获取IP地址，且记录客户端IPv6地址及MAC地址的绑定关系。

·     在接口GigabitEthernet1/0/1上启用IPv6动态绑定功能，利用动态生成的DHCPv6 Snooping表项过滤接口接收的报文，只允许通过DHCPv6服务器动态获取IP地址的客户端接入网络。

2. 组网图

图1-6 配置与DHCPv6 Snooping配合的IPv6动态绑定功能组网图

‌

3. 配置步骤

(1)     配置DHCPv6 Snooping

# 全局使能DHCPv6 Snooping功能。

<Device> system-view

[Device] ipv6 dhcp snooping enable

# 配置接口GigabitEthernet1/0/2为信任接口。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] ipv6 dhcp snooping trust

[Device-GigabitEthernet1/0/2] quit

(2)     配置IPv6接口绑定功能

# 开启接口GigabitEthernet1/0/1的IPv6接口绑定功能，绑定源IP地址和MAC地址，并启用接口的DHCPv6 Snooping表项记录功能。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address

[Device-GigabitEthernet1/0/1] ipv6 dhcp snooping binding record

[Device-GigabitEthernet1/0/1] quit

4. 验证配置

# 客户端通过DHCPv6 server成功获取IP地址之后，通过执行以下命令可查看到已生成的IPv6动态绑定表项信息。

[Device] display ipv6 source binding dhcpv6-snooping

Total entries found: 1

IPv6 address         MAC address    Interface               VLAN Type

2001::1              040a-0000-0001 GE1/0/1                 1    DHCPv6 snooping

接口GigabitEthernet1/0/1在配置IPv6接口绑定功能之后，会根据该表项进行报文过滤。

1.8.6  与DHCPv6中继配合的IPv6动态绑定功能配置举例

1. 组网需求

Switch通过接口Vlan-interface3和Vlan-interface2分别与客户端和DHCPv6服务器相连。通过在Switch上使能DHCPv6中继功能，实现如下需求：

·     客户端通过DHCPv6中继从DHCPv6服务器上获取IPv6地址。

·     在接口Vlan-interface3上启用IPv6动态绑定功能，利用Switch上生成的DHCPv6中继表项，过滤接口接收的报文。

2. 组网图

图1-7 配置与DHCPv6中继配合的IPv6动态绑定功能组网图

 

3. 配置步骤

(1)     配置DHCPv6中继

# 创建VLAN、将接口加入到VLAN，并配置VLAN接口的IPv6地址（略）。

# 配置接口Vlan-interface3工作在DHCPv6中继模式。

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ipv6 dhcp select relay

# 开启DHCPv6中继用户地址表项记录功能。

[Switch-Vlan-interface3] ipv6 dhcp relay client-information record

# 指定DHCPv6服务器的地址。

[Switch-Vlan-interface3] ipv6 dhcp relay server-address 2::2

[Switch-Vlan-interface3] quit

# 在接口Vlan-interface3上开启IPv6接口绑定功能，绑定源IP地址和MAC地址。

<Switch> system-view

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ipv6 verify source ip-address mac-address

[Switch-Vlan-interface3] quit

4. 验证配置

# 显示生成的IPv6动态绑定表项信息。

[Switch] display ipv6 source binding dhcpv6-relay

Total entries found: 1

IP address      MAC address    Interface                VLAN Type

1::2            0001-0203-0406 Vlan3                    3    DHCPv6 relay