认证
- 0关注
- 1收藏，885浏览
问题描述：
请问V7版本的交换机如何配置IP加MAC地址绑定认证。
目前在三层vlan接口下开启了ip verify source ip-address mac-address并在交换机全局模式下添加了IP与MAC对应关系没有生效。
- 2022-05-13提问
- 举报
-
(0)
最佳答案
您好，参考
(1) 配置本地MAC地址认证
# 添加本地接入用户。用户名和密码均为接入用户的MAC地址00-e0-fc-12-34-56，服务类型为lan-access。
<Device> system-view
[Device] local-user 00-e0-fc-12-34-56
[Device-luser-00-e0-fc-12-34-56] password simple 00-e0-fc-12-34-56
[Device-luser-00-e0-fc-12-34-56] service-type lan-access
[Device-luser-00-e0-fc-12-34-56] quit
# 配置ISP域，使用本地认证方法。
[Device] domain ***.***
[Device-isp-***.***] authentication lan-access local
[Device-isp-***.***] quit
# 开启全局MAC地址认证特性。
[Device] mac-authentication
# 开启端口Ethernet1/0/1的MAC地址认证特性。
[Device] mac-authentication interface ethernet 1/0/1
# 配置MAC地址认证用户所使用的ISP域。
[Device] mac-authentication domain ***.***
# 配置MAC地址认证的定时器。
[Device] mac-authentication timer offline-detect 180
[Device] mac-authentication timer quiet 180
# 配置MAC地址认证用户名格式：使用带连字符的MAC地址作为用户名与密码，其中字母小写。
[Device] mac-authentication user-name-format mac-address with-hyphen lowercase
(2) 验证配置结果
# 显示MAC地址配置信息。
<Device> display mac-authentication
MAC address authentication is enabled.
PAP authentication is enabled
User name format is MAC address in lowercase, like xx-xx-xx-xx-xx-xx
Fixed username:mac
Fixed password:not configured
Offline detect period is 180s
Quiet period is 180s.
Server response timeout value is 100s
The max allowed user number is 1024 per slot
Current user number amounts to 1
Current domain is ***.***
Silent Mac User info:
MAC Addr From Port Port Index
Ethernet1/0/1 is link-up
MAC address authentication is enabled
Authenticate success: 1, failed: 0
Max number of on-line users is 256
Current online user number is 1
MAC Addr Authenticate state Auth Index
00e0-fc12-3456 MAC_AUTHENTICATOR_SUCCESS 29
# 用户认证成功后，可通过如下显示命令查看上线用户的连接信息。
<Device> display connection
Slot: 1
Index=29 ,Username=00-e0-fc-12-34-56@***.***
IP=N/A
IPv6=N/A
MAC=00e0-fc12-3456
Total 1 connection(s) matched on slot 1.
Total 1 connection(s) matched.
- 2022-05-13回答
- 评论(4)
- 举报
-
(0)
IPv4静态绑定表项配置举例
1. 组网需求
如图1-2所示，Host A、Host B分别与Device A的接口GigabitEthernet1/0/2、GigabitEthernet1/0/1相连。各主机均使用静态配置的IP地址。
要求通过在Device A上配置IPv4静态绑定表项，满足以下各项应用需求：
· Device A上的所有接口都允许Host A发送的IP报文通过。
· Device A的接口GigabitEthernet1/0/1上允许Host B发送的IP报文通过。
2. 组网图
3. 配置步骤
# 配置Device A各接口的IP地址（略）。
# 在接口GigabitEthernet1/0/2上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。
<DeviceA> system-view
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] ip verify source ip-address mac-address
[DeviceA-GigabitEthernet1/0/2] quit
# 配置IPv4静态绑定表项，在Device A上的所有接口都允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的数据终端Host A发送的IP报文通过。
[DeviceA] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406
# 在接口GigabitEthernet1/0/1上开启IPv4接口绑定功能，绑定源IP地址和MAC地址。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] ip verify source ip-address mac-address
# 配置IPv4静态绑定表项，在Device A的GigabitEthernet1/0/1上允许MAC地址为0001-0203-0407的数据终端Host B发送的IP报文通过。
[DeviceA-GigabitEthernet1/0/1] ip source binding mac-address 0001-0203-0407
[DeviceA-GigabitEthernet1/0/1] quit
4. 验证配置
# 在Device A上显示IPv4静态绑定表项，可以看出以上配置成功。
<DeviceA> display ip source binding static
Total entries found: 2
IP Address MAC Address Interface VLAN Type
192.168.0.1 0001-0203-0406 N/A N/A Static
N/A 0001-0203-0407 GE1/0/1 N/A Static
1.6.2 与DHCP Snooping配合的IPv4动态绑定功能配置举例
1. 组网需求
DHCP客户端通过Device的接口GigabitEthernet1/0/1接入网络，通过DHCP服务器获取IPv4地址。
具体应用需求如下：
· Device上使能DHCP Snooping功能，保证客户端从合法的服务器获取IP地址，且记录客户端IPv4地址及MAC地址的绑定关系。
· 在接口GigabitEthernet1/0/1上启用IPv4动态绑定功能，利用动态生成的DHCP Snooping表项过滤接口接收的报文，只允许通过DHCP服务器动态获取IP地址的客户端接入网络。DHCP服务器的具体配置请参见“三层技术-IP业务配置指导”中的“DHCP服务器”。
2. 组网图
图1-3 配置与DHCP Snooping配合的IPv4动态绑定功能组网图
3. 配置步骤
(1) 配置DHCP Snooping
# 配置各接口的IP地址（略）。
# 开启DHCP Snooping功能。
<Device> system-view
[Device] dhcp snooping enable
# 设置与DHCP服务器相连的接口GigabitEthernet1/0/2为信任接口。
[Device] interface gigabitethernet 1/0/2
[Device-GigabitEthernet1/0/2] dhcp snooping trust
[Device-GigabitEthernet1/0/2] quit
(2) 配置IPv4接口绑定功能
# 开启接口GigabitEthernet1/0/1的IPv4接口绑定功能，绑定源IP地址和MAC地址，并启用接口的DHCP Snooping 表项记录功能。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip verify source ip-address mac-address
[Device-GigabitEthernet1/0/1] dhcp snooping binding record
[Device-GigabitEthernet1/0/1] quit
4. 验证配置
# 显示接口GigabitEthernet1/0/1从DHCP Snooping获取的动态表项。
[Device] display ip source binding dhcp-snooping
Total entries found: 1
IP Address MAC Address Interface VLAN Type
192.168.0.1 0001-0203-0406 GE1/0/1 1 DHCP snooping
接口GigabitEthernet1/0/1在配置IPv4接口绑定功能之后，会根据该表项进行报文过滤。
- 2022-05-13回答
- 评论(1)
- 举报
-
(0)
如果·想实现做了绑定了可以上网，没做绑定不能上网需要如何做呢？
如果·想实现做了绑定了可以上网，没做绑定不能上网需要如何做呢？
<DeviceA> system-view
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] ip verify source ip-address mac-address
[DeviceA-GigabitEthernet1/0/2] quit
# 配置IPv4静态绑定表项，在Device A上的所有接口都允许MAC地址为0001-0203-0406、IP地址为192.168.0.1的数据终端Host A发送的IP报文通过。
[DeviceA] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406
- 2022-05-13回答
- 评论(1)
- 举报
-
(0)
我这里在vlanif10中开启了认证，然后全局添加了静态绑定表项不生效。
我这里在vlanif10中开启了认证，然后全局添加了静态绑定表项不生效。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
楼下的就是案例