技术文档

  1. 你的位置
  2. 网站首页
  3. 技术文档
  4. 网络技术

华为配置IPSG限制非法主机访问内网示例（静态绑定）

2022-05-18 12:28:18
文件版本 :
立即下载

组网需求

如图12-16所示，Host通过Switch接入网络，Gateway为企业出口网关，各Host均使用静态配置的IP地址。管理员在Switch上做了接口限制，希望Host使用管理员分配的固定IP地址、从固定的接口上线。同时为了安全考虑，不允许外来人员的电脑随意接入内网。

图12-16  配置IPSG限制非法主机访问内网（静态绑定）组网图
图片关键词

配置思路

采用如下的思路在Switch上配置IPSG功能，实现上述需求。

  1. 在Switch上配置各接口所属VLAN。

  2. 在Switch上创建Host_1和Host_2的静态绑定表项，固定IP地址、MAC地址、接口的绑定关系。

  3. 在Switch上配置GE1/0/4为信任接口，从该接口收到的报文不执行IPSG检查，防止从Gateway回程报文被丢弃。

  4. 在Switch连接用户主机的VLAN上使能IPSG功能，实现Host_1、Host_2使用固定的IP地址、从固定的接口上线，并且外来主机Host_3无法随意接入内网。


操作步骤

  1. 配置各接口所属VLAN


     system-view
  2. Switch[Switch] vlan batch 10
  3. [Switch] interface gigabitethernet 1/0/1
  4. [Switch-GigabitEthernet1/0/1] port link-type access
  5. [Switch-GigabitEthernet1/0/1] port default vlan 10
  6. [Switch-GigabitEthernet1/0/1] quit
  7. [Switch] interface gigabitethernet 1/0/2
  8. [Switch-GigabitEthernet1/0/2] port link-type access
  9. [Switch-GigabitEthernet1/0/2] port default vlan 10
  10. [Switch-GigabitEthernet1/0/2] quit
  11. [Switch] interface gigabitethernet 1/0/3
  12. [Switch-GigabitEthernet1/0/3] port link-type access
  13. [Switch-GigabitEthernet1/0/3] port default vlan 10
  14. [Switch-GigabitEthernet1/0/3] quit
  15. [Switch] interface gigabitethernet 1/0/4
  16. [Switch-GigabitEthernet1/0/4] port link-type trunk
  17. [Switch-GigabitEthernet1/0/4] port trunk allow-pass vlan 10
  18. [Switch-GigabitEthernet1/0/4] quit


  19. 创建Host_1和Host_2的静态绑定表项


    [Switch] user-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001 interface gigabitethernet 1/0/1
  20. [Switch] user-bind static ip-address 10.0.0.2 mac-address 0002-0002-0002 interface gigabitethernet 1/0/2


  21. 配置上行口GE1/0/4为信任接口


    [Switch] dhcp enable[Switch] dhcp snooping enable
  22. [Switch] interface gigabitethernet 1/0/4
  23. [Switch-GigabitEthernet1/0/4] dhcp snooping trusted
  24. [Switch-GigabitEthernet1/0/4] quit


  25. 在连接Host的VLAN10上使能IPSG功能


    [Switch] vlan 10[Switch-vlan10] ip source check user-bind enable
  26. [Switch-vlan10] quit


  27. 验证配置结果


    在Switch上执行display dhcp static user-bind all命令，可以查看Host_1和Host_2的绑定表信息。

    [Switch] display dhcp static user-bind allDHCP static Bind-table:                                                         
Flags:O - outer vlan ,I - inner vlan ,P - Vlan-mapping                          
IP Address                      MAC Address     VSI/VLAN(O/I/P) Interface       
--------------------------------------------------------------------------------
10.0.0.1                        0001-0001-0001  --  /--  /--    GE1/0/1
  28. 10.0.0.2                        0002-0002-0002  --  /--  /--    GE1/0/2
Print count:           2          Total count:           2

    Host_1和Host_2可以正常访问网络，更换IP地址或者从其他接口接入后将无法访问网络。

    将一台外来主机Host_3配置10.0.0.3的IP地址并接入接口GE1/0/3后，Host_3仍无法访问网络，说明外来主机不能通过随意设置IP地址访问内网。如果Host_3需要访问内网资源，需要管理员在静态绑定表中添加Host_3的表项。


配置文件

Switch的配置文件

#
sysname Switch#
vlan batch 10
#
dhcp enable 
#
dhcp snooping enable
user-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001 interface GigabitEthernet1/0/1
user-bind static ip-address 10.0.0.2 mac-address 0002-0002-0002 interface GigabitEthernet1/0/2#
vlan 10
 ip source check user-bind enable
#
interface GigabitEthernet1/0/1
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet1/0/2
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet1/0/3
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet1/0/4
 port link-type trunk
 port trunk allow-pass vlan 10
 dhcp snooping trusted
#
return


为你推荐