如何綁定IP和MAC地址

如何綁定IP和MAC地址？場景與原理IPSG可以防止惡意主機偽造合法主機的IP地址仿冒合法主機來訪問網(wǎng)絡(luò)或攻擊網(wǎng)絡(luò)。它是利用交換機上

的綁定表過濾非法主機發(fā)送的報文，以阻止非法主機訪問網(wǎng)絡(luò)或者攻擊網(wǎng)絡(luò)。綁定表分為靜態(tài)綁定表和DHCPSnooping動態(tài)綁定表。

靜態(tài)綁定表：通過user-bind命令手工配置。

該方式適用于局域網(wǎng)絡(luò)中主機數(shù)較少，且主機使用靜態(tài)配置IP地址的網(wǎng)絡(luò)環(huán)境。

DHCPSnooping動態(tài)綁定表：配置DHCP

Snooping功能后，DHCP主機動態(tài)獲取IP地址時，設(shè)備根據(jù)DHCP服務(wù)器發(fā)送的DHCP回復(fù)報文動態(tài)生成。

該方式適用于局域網(wǎng)絡(luò)中主機較多，且主機使用DHCP動態(tài)獲取IP地址的網(wǎng)絡(luò)環(huán)境。1靜態(tài)配置示例需求場景某公司員工通過交換機連接網(wǎng)絡(luò)。

研發(fā)人員IP地址為10.0.0.1，人力資源員工IP地址為10.0.0.11，設(shè)備上配置ACL，只允許人力資源員工10.0.0.11可以訪問Internet。并且，在人力資源員工出差關(guān)機的情況下，研發(fā)員工也不能通過私自將IP地址更改為10.0.0.11訪問Internet。

配置思路1.在交換機上創(chuàng)建研發(fā)員工和人力資源員工的綁

定表。2.在交換機

的GE0/0/1和GE0/0/2接口下使能IPSG檢查功能。操作步驟<Along>system-view

//進(jìn)入系統(tǒng)視圖[Along]user-bindstaticip-addressmac-address0001-0001-0001

//創(chuàng)建研發(fā)人員的綁定表項[Along]user-bindstaticip-address1mac-address0002-0002-0002

//創(chuàng)建人力資源員工的綁定表項[Along]interfacegigabitethernet0/0/1

//進(jìn)入GE0/0/1接口視圖[Along-GigabitEthernet0/0/1]ipsourcecheckuser-bindenable

//使能GE0/0/1接口的IPSG檢查功能[Along-GigabitEthernet0/0/1]quit

//退出GE0/0/1接口視圖

[Along]interfacegigabitethernet0/0/2

//進(jìn)入GE0/0/2接口視圖

[Along-GigabitEthernet0/0/2]ipsourcecheckuser-bindenable

//使能GE0/0/2接口的IPSG檢查功能

[Along-GigabitEthernet0/0/2]quit

//退出GE0/0/2接口視圖2動態(tài)配置示例需求場景公司某部門員工IP地址均通過DHCP方式獲取，通過部署IPSG實現(xiàn)員工只能使用DHCP

Server分配的IP地址，不允許私自配置靜態(tài)IP地址，如果私自指定IP地址將無法訪問網(wǎng)絡(luò)。配置思路在交換機1上配置DHCP

Snooping功能，生成DHCP

Snooping動態(tài)綁定表。在交換機1連接員工主機的VLAN20上使能IPSG功能。

備注：此處省略DHCP配置，要求已完成相關(guān)配置，并且員工已通過

DHCP方式動態(tài)獲取到IP地址。操作步驟<Along>system-view

//進(jìn)入系統(tǒng)視圖

[Along]dhcpenable

//全局使能DHCP功能

[Along]dhcpsnoopingenable

//全局使能DHCP

Snooping功能

[Along]vlan20

//進(jìn)入VLAN20視圖

[Along-vlan20]dhcpsnoopingenable

//在VLAN視圖下使能DHCP

Snooping功能

[Along-vlan20]dhcpsnoopingtrustedinterfacegigabitethernet0/0/3

//將連接DHCP

Serv

er的GE0/0/3接口

配置為信任接口

[Along-vlan20]ipsourcecheckuser-bindenable

//基于VLAN使能IPSG檢查功能

[Along-vlan20]quit

//退出VLAN視圖

這是一個

信息爆炸

的時代，過多無用

的信息只