技术文档

  1. 你的位置
  2. 网站首页
  3. 技术文档
  4. 网络技术

华为配置IPSG防止主机私自更改IP地址示例（静态绑定）

2022-05-13 21:45:47
文件版本 :
立即下载

组网需求

如图12-14所示，Host通过Switch接入网络，Gateway为企业出口网关，各Host均使用静态配置的IP地址。管理员希望Host使用管理员分配的固定IP地址上网，不允许私自更改IP地址非法获取网络访问权限。

图12-14  配置IPSG防止主机私自更改IP地址（静态绑定）组网图
图片关键词


配置思路

采用如下的思路在Switch上配置IPSG功能，实现上述需求。

  1. 在Switch上配置Host_1和Host_2的静态绑定表，固定IP和MAC的绑定关系。

  2. 在Switch连接用户主机的接口使能IPSG，实现Host只能使用管理员分配的固定IP地址上网。同时，在接口开启IP报文检查告警功能，当交换机丢弃非法上网用户的报文达到阈值后上报告警。


操作步骤

  1. 创建Host_1和Host_2的静态绑定表项


     system-view
  2. Switch[Switch] user-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001
  3. [Switch] user-bind static ip-address 10.0.0.11 mac-address 0002-0002-0002


  4. 使能IPSG并设置丢弃报文上报告警功能


    # 在连接Host_1的GE1/0/1接口使能IPSG和IP报文检查告警功能，当丢弃报文阈值到达200将上报告警。

    [Switch] interface gigabitethernet 1/0/1
  5. [Switch-GigabitEthernet1/0/1] ip source check user-bind enable
  6. [Switch-GigabitEthernet1/0/1] ip source check user-bind alarm enable
  7. [Switch-GigabitEthernet1/0/1] ip source check user-bind alarm threshold 200
  8. [Switch-GigabitEthernet1/0/1] quit

    # 在连接Host_2的GE1/0/2接口使能IPSG和IP报文检查告警功能，当丢弃报文阈值到达200将上报告警。

    [Switch] interface gigabitethernet 1/0/2
  9. [Switch-GigabitEthernet1/0/2] ip source check user-bind enable
  10. [Switch-GigabitEthernet1/0/2] ip source check user-bind alarm enable
  11. [Switch-GigabitEthernet1/0/2] ip source check user-bind alarm threshold 200
  12. [Switch-GigabitEthernet1/0/2] quit


  13. 验证配置结果


    在Switch上执行display dhcp static user-bind all命令，可以查看静态绑定表信息。

    [Switch] display dhcp static user-bind allDHCP static Bind-table:                                                         
Flags:O - outer vlan ,I - inner vlan ,P - Vlan-mapping                          
IP Address                      MAC Address     VSI/VLAN(O/I/P) Interface       
--------------------------------------------------------------------------------
10.0.0.1                        0001-0001-0001  --  /--  /--    --       
10.0.0.11                       0002-0002-0002  --  /--  /--    --       
--------------------------------------------------------------------------------
Print count:           2          Total count:           2

    Host_1和Host_2使用管理员分配的固定IP地址可以正常访问网络，更改IP地址后无法访问网络。



配置文件

Switch的配置文件

#
sysname Switch#
user-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001
user-bind static ip-address 10.0.0.11 mac-address 0002-0002-0002
#
interface GigabitEthernet1/0/1
 ip source check user-bind enable
 ip source check user-bind alarm enable
 ip source check user-bind alarm threshold 200
#
interface GigabitEthernet1/0/2
 ip source check user-bind enable
 ip source check user-bind alarm enable
 ip source check user-bind alarm threshold 200
#
return


为你推荐