网站开发与运营方向,推广普通话标语,网站中转页,网站营销推广怎么做相关文章学习#xff1a;
安全典型配置#xff08;一#xff09;使用ACL限制FTP访问权限案例 安全典型配置#xff08;二#xff09;使用ACL限制用户在特定时间访问特定服务器的权限案例 安全典型配置#xff08;三#xff09;使用ACL禁止特定用户上网案例安全典型配置…相关文章学习
安全典型配置一使用ACL限制FTP访问权限案例 安全典型配置二使用ACL限制用户在特定时间访问特定服务器的权限案例 安全典型配置三使用ACL禁止特定用户上网案例安全典型配置四使用自反ACL实现单向访问控制案例安全典型配置五SNMP中应用ACL过滤非法网管案例 配置IPSG限制非法主机访问内网案例静态绑定
IPSG简介
IPSG是一种基于二层接口的源IP地址过滤技术它利用交换机上的绑定表对IP报文进行过滤。绑定表由IP地址、MAC地址、VLAN ID和接口组成包括静态和动态两种。静态绑定表是用户手工创建的动态绑定表即DHCP Snooping绑定表它是在主机动态获取IP地址时交换机根据DHCP回复报文自动生成的。绑定表生成后在使能IPSG的接口收到报文后交换机会将报文中的信息和绑定表匹配匹配成功则允许报文通过匹配失败则丢弃报文。匹配的内容可以是IP地址、MAC地址、VLAN ID和接口的任意组合例如可以只匹配IP地址或者只匹配IP地址和MAC地址或者IP地址、MAC地址、VLAN ID和接口都匹配等。
因此IPSG能够防止恶意主机盗用合法主机的IP地址来仿冒合法主机还能确保非授权主机不能通过自己指定IP地址的方式来访问网络或者攻击网络。
例如在主机是静态分配IP地址的环境下主机只能使用管理员分配的固定IP地址并从固定的接口上线。同时出于安全考虑不允许外来人员的电脑随意接入内网。 配置注意事项
除以下提及的产品形态外其他版本的各形态均适用本示例。 V100R006C05版本中S2700-SI不支持IPSG功能。 如下版本设备使能IPv4报文三层硬转功能后不支持IPSG功能。 V200R007C00、V200R008C00、V200R011及之后版本S2750-EI、S5700-10P-LI-AC和S5700-10P-PWR-LI-AC V200R009C00及V200R010C00版本S2720-EI、S2750-EI、S5700-10P-LI-AC和S5700-10P-PWR-LI-AC 组网需求
如图1所示Host通过Switch接入网络Gateway为企业出口网关各Host均使用静态配置的IP地址。管理员在Switch上做了接口限制希望Host使用管理员分配的固定IP地址、从固定的接口上线。同时为了安全考虑不允许外来人员的电脑随意接入内网。 图1 配置IPSG限制非法主机访问内网静态绑定组网图 数据规划
在开始配置之前需要规划好以下数据。 配置思路
采用如下的思路在Switch上配置IPSG功能实现上述需求。 在Switch上配置各接口所属VLAN。 在Switch上创建Host_1和Host_2的静态绑定表项固定IP地址、MAC地址、接口的绑定关系。 在Switch上配置GE0/0/4为信任接口从该接口收到的报文不执行IPSG检查防止从Gateway回程报文被丢弃。 在Switch连接用户主机的VLAN上使能IPSG功能实现Host_1、Host_2使用固定的IP地址、从固定的接口上线并且外来主机Host_3无法随意接入内网。 操作步骤
1、配置各接口所属VLAN
HUAWEI system-view[HUAWEI] sysname Switch[Switch] vlan batch 10[Switch] interface gigabitethernet 0/0/1[Switch-GigabitEthernet0/0/1] port link-type access[Switch-GigabitEthernet0/0/1] port default vlan 10[Switch-GigabitEthernet0/0/1] quit[Switch] interface gigabitethernet 0/0/2[Switch-GigabitEthernet0/0/2] port link-type access[Switch-GigabitEthernet0/0/2] port default vlan 10[Switch-GigabitEthernet0/0/2] quit[Switch] interface gigabitethernet 0/0/3[Switch-GigabitEthernet0/0/3] port link-type access[Switch-GigabitEthernet0/0/3] port default vlan 10[Switch-GigabitEthernet0/0/3] quit[Switch] interface gigabitethernet 0/0/4[Switch-GigabitEthernet0/0/4] port link-type trunk[Switch-GigabitEthernet0/0/4] port trunk allow-pass vlan 10[Switch-GigabitEthernet0/0/4] quit 2、创建Host_1和Host_2的静态绑定表项
[Switch] user-bind static ip-address 10.0.0.2 mac-address 0002-0002-0002 interface gigabitethernet 0/0/2 //创建Host_2的静态绑定表项[Switch] user-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001 interface gigabitethernet 0/0/1 //创建Host_1的静态绑定表项 3、配置上行口GE0/0/4为信任接口
[Switch] dhcp enable //使能DHCP功能[Switch] dhcp snooping enable //使能全局DHCP Snooping功能[Switch] interface gigabitethernet 0/0/4[Switch-GigabitEthernet0/0/4] dhcp snooping trusted //配置信任接口[Switch-GigabitEthernet0/0/4] quit 4、在连接Host的VLAN10上使能IPSG功能
[Switch] vlan 10[Switch-vlan10] ip source check user-bind enable[Switch-vlan10] quit 5、验证配置结果
在Switch上执行display dhcp static user-bind all命令可以查看Host_1和Host_2的绑定表信息。
[Switch] display dhcp static user-bind allDHCP static Bind-table: Flags:O - outer vlan ,I - inner vlan ,P - Vlan-mapping IP Address MAC Address VSI/VLAN(O/I/P) Interface --------------------------------------------------------------------------------10.0.0.1 0001-0001-0001 -- /-- /-- GE0/0/110.0.0.2 0002-0002-0002 -- /-- /-- GE0/0/2--------------------------------------------------------------------------------Print count: 2 Total count: 2 Host_1和Host_2可以正常访问网络更换IP地址或者从其他接口接入后将无法访问网络。
将一台外来主机Host_3配置10.0.0.3的IP地址并接入接口GE0/0/3后Host_3仍无法访问网络说明外来主机不能通过随意设置IP地址访问内网。如果Host_3需要访问内网资源需要管理员在静态绑定表中添加Host_3的表项。 配置文件
Switch的配置文件
sysname Switch#vlan batch 10#dhcp enable#dhcp snooping enableuser-bind static ip-address 10.0.0.1 mac-address 0001-0001-0001 interface GigabitEthernet0/0/1user-bind static ip-address 10.0.0.2 mac-address 0002-0002-0002 interface GigabitEthernet0/0/2#vlan 10ip source check user-bind enable#interface GigabitEthernet0/0/1port link-type access port default vlan 10#interface GigabitEthernet0/0/2port link-type access port default vlan 10#interface GigabitEthernet0/0/3port link-type access port default vlan 10#interface GigabitEthernet0/0/4port link-type trunkport trunk allow-pass vlan 10dhcp snooping trusted#return
