H3C S6520-24S-SI 各位大佬
有没有配置案例?
不是只做arp绑定
是只允许某个vlan,绑定了arp的才能上网
没做绑定的上不了网
H3C S6520-24S-SI 各位大佬
有没有配置案例?
不是只做arp绑定
是只允许某个vlan,绑定了arp的才能上网
没做绑定的上不了网
(0)
您好,参考
如图1所示,在一个小型网络中,各主机和服务器均使用静态配置的IPv4地址。要求在Device A和Device B上配置IP Source Guard全局静态绑定表项和端口静态绑定表项,并在端口下开启IP Source Guard功能(IP+MAC绑定),对Device A和Device B接收到的报文进行过滤,以防止非法用户报文通过。
具体需求如下:
· Device A的端口XGE1/0/1允许Host A发送的IP报文通过。
· Device A的所有端口都允许Host B发送的IP报文通过。
· Device B的端口XGE1/0/1只允许Host A和Host B发送的IP报文通过。
· Device B的端口XGE1/0/2只允许File Server发送的IP报文通过。
图1 基于IPv4静态绑定的IP Source Guard组网图
由于各主机和服务器都是用静态IP地址和固定MAC地址,因此若要实现Device A的某个端口上仅允许特定主机通过,可在端口下配置IP Source Guard静态绑定表项;若要实现允许特定主机的报文通过Device A的任意端口,则需要配置IP Source Guard全局静态绑定表项。若要实现Device B的某个端口上仅允许特定主机通过,可在端口下配置IP Source Guard静态绑定表项。
# 创建VLAN 10,并将端口Ten-GigabitEthernet1/0/1~Ten-GigabitEthernet1/0/3加入VLAN 10。
<DeviceA> system-view
[DeviceA] vlan 10
[DeviceA-vlan10] port ten-gigabitethernet 1/0/1 to ten-gigabitethernet 1/0/3
[DeviceA-vlan10] quit
# 配置VLAN接口10的IP地址。
[DeviceA] interface vlan-interface 10
[DeviceA-Vlan-interface10] ip address 192.168.0.10 255.255.255.0
[DeviceA-Vlan-interface10] quit
# 在端口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2上配置IP Source Guard端口绑定功能,绑定源IP地址和MAC地址。
[DeviceA] interface ten-gigabitethernet 1/0/2
[DeviceA-Ten-GigabitEthernet1/0/2] ip verify source ip-address mac-address
[DeviceA-Ten-GigabitEthernet1/0/2] quit
[DeviceA] interface ten-gigabitethernet 1/0/1
[DeviceA-Ten-GigabitEthernet1/0/1] ip verify source ip-address mac-address
# 在端口Ten-GigabitEthernet1/0/1上配置只允许MAC地址为00-01-02-03-04-01、IP地址为192.168.0.1的终端Host A发送的IP报文通过。
[DeviceA-Ten-GigabitEthernet1/0/1] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0401
[DeviceA-Ten-GigabitEthernet1/0/1] quit
# 在Device A上配置允许MAC地址为00-01-02-03-04-02、IP地址为192.168.0.2的终端Host B发送的IP报文通过。
[DeviceA] ip source bi
(0)
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论