华为交换机配置IPSG限制非法主机访问内网示例教程

最近由于总有人在网络中私自接小路由器,或者接入打印机之类的设备,导致网络总是不稳定。经过重新配置交换机,将不允许未经过登记的设备接入网络中,加强网络的安全等级。具体操作如下:

ipsg配置拓扑图

一、组网需求

如上图所示,Host通过Switch接入网络,Gateway为企业出口网关,各Host均使用静态配置的IP地址。管理员在Switch上做了接口限制,希望Host使用管理员分配的固定IP地址、从固定的接口上线。同时为了安全考虑,不允许外来人员的电脑随意接入内网。

二、配置思路

采用如下的思路在Switch上配置IPSG功能,实现上述需求。

  1. Switch上配置各接口所属VLAN。
  2. Switch上创建Host_1和Host_2的静态绑定表项,固定IP地址、MAC地址、接口的绑定关系。
  3. Switch上配置GE0/0/4为信任接口,从该接口收到的报文不执行IPSG检查,防止从Gateway回程报文被丢弃。
  4. Switch连接用户主机的VLAN上使能IPSG功能,实现Host_1、Host_2使用固定的IP地址、从固定的接口上线,并且外来主机Host_3无法随意接入内网。

三、操作步骤

  1. 配置各接口所属VLAN
    <HUAWEI> system-view
    [HUAWEI] sysname Switch
    [Switch] vlan batch 10
    [Switch] interface gigabitethernet 0/0/1 
    [Switch-GigabitEthernet0/0/1] port link-type access
    [Switch-GigabitEthernet0/0/1] port default vlan 10
    [Switch-GigabitEthernet0/0/1] quit
    [Switch] interface gigabitethernet 0/0/2 
    [Switch-GigabitEthernet0/0/2] port link-type access
    [Switch-GigabitEthernet0/0/2] port default vlan 10
    [Switch-GigabitEthernet0/0/2] quit
    [Switch] interface gigabitethernet 0/0/3 
    [Switch-GigabitEthernet0/0/3] port link-type access
    [Switch-GigabitEthernet0/0/3] port default vlan 10
    [Switch-GigabitEthernet0/0/3] quit
    [Switch] interface gigabitethernet 0/0/4 
    [Switch-GigabitEthernet0/0/4] port link-type trunk
    [Switch-GigabitEthernet0/0/4] port trunk allow-pass vlan 10
    [Switch-GigabitEthernet0/0/4] quit
  2. 创建Host_1和Host_2的静态绑定表项
    [Switch] user-bind static ip-address 10.0.0.1 mac-address xxxx-xxxx-xxx1 interface gigabitethernet 0/0/1
    [Switch] user-bind static ip-address 10.0.0.2 mac-address xxxx-xxxx-xxx2 interface gigabitethernet 0/0/2
  3. 配置上行口GE0/0/4为信任接口
    [Switch] dhcp enable
    [Switch] dhcp snooping enable
    [Switch] interface gigabitethernet 0/0/4
    [Switch-GigabitEthernet0/0/4] dhcp snooping trusted
    [Switch-GigabitEthernet0/0/4] quit
  4. 在连接Host的VLAN10上使能IPSG功能
    [Switch] vlan 10
    [Switch-vlan10] ip source check user-bind enable
    [Switch-vlan10] quit
  5. 验证配置结果在Switch上执行display dhcp static user-bind all命令,可以查看Host_1和Host_2的绑定表信息。
    [Switch] display dhcp static user-bind all
    DHCP static Bind-table:                                                         
    Flags:O - outer vlan ,I - inner vlan ,P - Vlan-mapping                          
    IP Address                      MAC Address     VSI/VLAN(O/I/P) Interface       
    --------------------------------------------------------------------------------
    10.0.0.1                        xxxx-xxxx-xxx1  --  /--  /--    GE0/0/1
    10.0.0.2                        xxxx-xxxx-xxx2  --  /--  /--    GE0/0/2
    --------------------------------------------------------------------------------
    Print count:           2          Total count:           2

    Host_1和Host_2可以正常访问网络,更换IP地址或者从其他接口接入后将无法访问网络。

    将一台外来主机Host_3配置10.0.0.3的IP地址并接入接口GE0/0/3后,Host_3仍无法访问网络,说明外来主机不能通过随意设置IP地址访问内网。如果Host_3需要访问内网资源,需要管理员在静态绑定表中添加Host_3的表项。

四、Switch的配置文件

#
sysname Switch
#
vlan batch 10
#
dhcp enable 
#
dhcp snooping enable
user-bind static ip-address 10.0.0.1 mac-address xxxx-xxxx-xxx1 interface GigabitEthernet0/0/1
user-bind static ip-address 10.0.0.2 mac-address xxxx-xxxx-xxx2 interface GigabitEthernet0/0/2
#
vlan 10
 ipv4 source check user-bind enable
 ipv6 source check user-bind enable   
#
interface GigabitEthernet0/0/1
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet0/0/2
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet0/0/3
 port link-type access  
 port default vlan 10 
#
interface GigabitEthernet0/0/4
 port link-type trunk
 port trunk allow-pass vlan 10
 dhcp snooping trusted
#
return
●本文来源互联网及网友投稿,如有侵权请及时联系本站进行删除。
●转载原创文章请保留地址及版权信息,否则侵权必究。
●分享目的仅供大家学习和交流,请不要用于商业用途。
●该资源版权归原著作者所有,请于下载后24小时内删除。
●如有链接无法下载、失效或广告,请联系右侧点击QQ咨询处理。
●本站资源售价只是赞助,收取费用仅维持本站的日常运营所需。
●如遇到加密压缩包,默认解压密码为"fdeer.com",如遇到无法解压的请联系管理员。

飞鹿日志 » 华为交换机配置IPSG限制非法主机访问内网示例教程

发表回复