所选语种没有对应资源,请选择:

本站点使用Cookies,继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

提示

尊敬的用户,您的IE浏览器版本过低,为获取更好的浏览体验,请升级您的IE浏览器。

升级

S1720, S2700, S5700, S6720 V200R012(C00&C20) 配置指南-安全

本文档介绍了安全的配置,具体包括ACL配置、本机防攻击配置、MFF配置、攻击防范配置、流量抑制及风暴控制配置、ARP安全配置、端口安全配置、DHCP Snooping配置、ND Snooping配置、PPPoE+配置、IPSG配置、SAVI配置、URPF配置、Keychain配置、MPAC配置、PKI配置、业务与管理隔离配置、安全风险查询配置
评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言,希望能帮助您更容易理解此文档的内容。 请注意:即使是最好的机器翻译,其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任,并建议您参考英文文档(已提供链接)。
配置基于静态绑定表的IPSG

配置基于静态绑定表的IPSG

配置基于静态绑定表的IPSG,实现对非信任接口上接收的IP报文进行过滤控制,防止恶意主机盗用合法主机的IP地址来仿冒合法主机,获取网络资源的使用权限。

背景信息

该方式适用于局域网络中主机数较少且主机使用静态配置IP地址的情况。

配置流程

图11-10  基于静态绑定表的IPSG配置流程图

请在接入用户的设备上进行如下配置。

操作步骤

  1. 创建静态绑定表项

    静态绑定表项包括IPv4和IPv6两种绑定表项,请根据网络环境选择配置。

    1. 执行命令system-view,进入系统视图。
    2. 执行命令user-bind static { { { ip-address | ipv6-address } { start-ip [ to end-ip ] } &<1-10> | ipv6-prefix prefix/prefix-length } | mac-address mac-address } * [ interface interface-type interface-number ] [ vlan vlan-id [ ce-vlan ce-vlan-id ] ],配置静态用户绑定表项。

      缺省情况下,不存在静态绑定表。

      说明:

      IPSG按照静态绑定表项进行完全匹配,即静态绑定表项包含几项就检查几项。请确保所创建的绑定表是正确且完整的,主机发送的报文只有匹配绑定表才会允许通过,不匹配绑定表的报文都将被丢弃。

      设备支持将多个IP地址(段)做批量绑定,例如多个IP批量绑定到同一个接口或同一个MAC。
      • 如果这些IP地址不是连续的,可以重复输入1~10个start-ip地址。例如执行命令user-bind static ip-address 192.168.1.2 192.168.1.5 192.168.1.12 interface gigabitethernet 0/0/1,将多个IP地址绑定到同一个接口。
      • 如果这些IP地址是连续的,可以重复输入1~10个start-ip to end-ip的地址段。需要注意的是,采用关键字to输入的区间不能有交叉。例如执行命令user-bind static ip-address 172.16.1.1 to 172.16.1.4 mac-address 0001-0001-0001,将多个IP地址绑定到同一个MAC地址。

      如果绑定表创建错误或者已绑定主机的网络权限变更,需要删除某些静态表项,请执行命令undo user-bind static [ interface interface-type interface-number | { ip-address | ipv6-address } { start-ip [ to end-ip ] } &<1-10> | mac-address mac-address | vlan vlan-id [ ce-vlan ce-vlan-id ] ] *

  2. (可选)配置信任接口

    主机是静态地址分配的环境,一般不需要配置信任接口。但当上行接口同时在使能IPSG功能的VLAN内,则需要将上行口配置成信任接口,否则回程报文会因匹配不到绑定表而被丢弃,导致业务不通。故障详述请参见IPSG中未配置上行信任接口导致业务不通。配置为信任接口后,从信任接口收到的报文不做匹配检查直接允许通过,可以避免上述问题的发生。

    1. 执行命令dhcp enable,全局使能DHCP功能。

      缺省情况下,没有全局使能DHCP功能。

    2. 执行命令dhcp snooping enable,全局使能DHCP Snooping功能。

      缺省情况下,没有全局使能DHCP Snooping功能。

    3. 在接口视图下执行命令dhcp snooping trusted,或在VLAN视图中执行dhcp snooping trusted interface interface-type interface-number,配置接口为信任状态。

      缺省情况下,接口为未信任状态。

  3. 使能IPSG功能

    绑定表创建后,IPSG并未生效,只有在指定接口(接入用户侧的接口)或在指定VLAN上使能IPSG后才生效。以下两种方式二选一。
    • 基于接口使能IPSG:该接口接收的所有的报文均进行IPSG检查。如果用户只希望在某些不信任的接口上进行IPSG检查,而信任其他接口,可以选择此方式。并且,当接口属于多个VLAN时,基于接口使能IPSG更方便,无需在每个VLAN上使能。

    • 基于VLAN使能IPSG:属于该VLAN的所有接口接收的报文均进行IPSG检查。如果用户只希望在某些不信任VLAN上进行IPSG检查,而信任其他VLAN,可以选择此方式。并且,当多个接口属于相同的VLAN时,基于VLAN使能IPSG更方便,无需在每个接口上使能。

    说明:
    • 接口上使能仅对该接口生效,其它接口不会执行IPSG检查。
    • VLAN上使能仅对该VLAN生效,其它VLAN不会执行IPSG检查。
    1. 进入接口或VLAN视图。
      • 执行命令interface interface-type interface-number,进入接口视图。
      • 执行命令vlan vlan-id,进入VLAN视图。
    2. 执行命令ip source check user-bind enable,使能接口或者VLAN的IP报文检查功能。

      缺省情况下,接口和VLAN上未使能IP报文检查功能。

  4. (可选)配置IP报文检查告警功能

    仅当步骤3中基于接口使能IPSG,本步骤才生效。配置了IP报文检查告警功能后,当丢弃的IP报文超过告警阈值时,会产生告警提醒用户。

    1. 执行命令system-view,进入系统视图。

    2. 执行命令interface interface-type interface-number,进入接口视图。

    3. 执行命令ip source check user-bind alarm enable,使能IP报文检查告警功能。

      缺省情况下,未使能IP报文检查告警功能。

    4. 执行命令ip source check user-bind alarm threshold threshold,配置IP报文检查告警阈值。

      缺省情况下,IP报文检查告警阈值为100。

检查配置结果

  • 查看指定接口的IPSG配置

    执行命令display ip source check user-bind interface interface-type interface-number,查看接口下IPSG的配置信息。

  • 查看生成的静态绑定表项及状态

    执行命令display dhcp static user-bind { { interface interface-type interface-number | ip-address ip-address | mac-address mac-address | vlan vlan-id } * | all } [ verbose ],查看IPv4静态绑定表信息。

    执行命令display dhcpv6 static user-bind { { interface interface-type interface-number | ipv6-address { ipv6-address | all } | mac-address mac-address | vlan vlan-id } * | all } [ verbose ],查看IPv6静态绑定表信息。

    verbose参数可以查看到IPSG的状态。
    • 如果IPSG Status显示为“effective”,表示该条表项的IPSG已生效。
    • 如果IPSG Status显示为“ineffective”,表示该条表项的IPSG未生效,这可能因硬件ACL资源不足导致。
翻译
下载文档
更新时间:2018-12-24

文档编号:EDOC1100038434

浏览量:32063

下载量:932

平均得分:
本文档适用于这些产品
相关文档
相关版本
Share
上一页 下一页