IPSG配置实验

IPSG（IP Source Guard）IP源防护，是一种基于二层接口的源IP地址过滤的技术，IPSG可以防止接入终端用户伪造合法的主机的IP地址对网络的攻击。IPSG通过静态或动态绑定IP地址，MAC地址，Vlan以及接口（注意：这四个选项是任意组合起来的，并不是严格需要将四个绑定在一起才会有用），然后在网络设备（交换机或者路由器）上面开启IPSG源检查，符合DHCP Snooping表项的才会对其转发，否则丢弃。

实验拓扑图：

实验代码：

[LSW1]user-bind static ip-address 10.1.1.1 mac-address 5489-98DE-1553 //将IP地址10.1.1.1与MAC地址5489-98DE-1553进行绑定。这意味着只有具有这个特定MAC地址的设备才能使用这个IP地址
[LSW1]user-bind static ip-address 10.1.1.10 mac-address 5489-988B-505B //将IP地址10.1.1.10与MAC地址5489-988B-505B进行绑定。同样，这意味着只有具有这个特定MAC地址的设备才能使用这个IP地址。
[LSW1] interface GigabitEthernet 0/0/1 //进入GigabitEthernet 0/0/1接口的配置模式。
[LSW1-GigabitEthernet0/0/1]ip source check user-bind enable //在GigabitEthernet 0/0/1接口上启用IP源检查功能。
[LSW1-GigabitEthernet0/0/1]ip source check user-bind alarm enable //在GigabitEthernet 0/0/1接口上启用IP源检查告警功能。
[LSW1-GigabitEthernet0/0/1]ip source check user-bind alarm threshold 100 //设置GigabitEthernet 0/0/1接口的IP源检查告警阈值为100。
[LSW1-GigabitEthernet0/0/1]q //退出

[LSW1]int g0/0/2  //进入GigabitEthernet 0/0/2接口的配置模式。
[LSW1-GigabitEthernet0/0/2]ip source check user-bind enable //在GigabitEthernet 0/0/2接口上启用IP源检查功能。
[LSW1-GigabitEthernet0/0/2]ip source check user-bind alarm enable  //在GigabitEthernet 0/0/2接口上启用IP源检查告警功能。

[LSW1-GigabitEthernet0/0/2]ip source check user-bind alarm threshold 100 //设置GigabitEthernet 0/0/2接口的IP源检查告警阈值为100。
[LSW1-GigabitEthernet0/0/2]q //退出

[LSW1]display dhcp static user-bind all //显示所有已配置的DHCP静态用户绑定信息。
DHCP static Bind-table:
Flags:O - outer vlan ,I - inner vlan ,P - map vlan 
IP Address                      MAC Address     VSI/VLAN(O/I/P) Interface       

--------------------------------------------------------------------------------
10.1.1.1                        5489-98de-1553  --  /--  /--    --              
10.1.1.10                       5489-988b-505b  --  /--  /--    --              
--------------------------------------------------------------------------------
print count:           2          total count:           2         
 

总结

IP源防护（IP Source Guard，简称IPSG）是一种网络安全技术，主要用于防止IP地址欺骗攻击。这种攻击中，攻击者使用伪造的IP地址发送数据包，以隐藏其真实身份或绕过安全措施。IPSG通过绑定IP地址与MAC地址来确保只有具有特定MAC地址的设备才能使用特定的IP地址，从而增强网络的安全性。

IPSG的工作原理：

1. 静态绑定：管理员将每个IP地址静态地绑定到一个特定的MAC地址。这意味着只有具有正确MAC地址的设备才能使用该IP地址进行通信。

2. 动态绑定：在某些情况下，可以使用DHCP服务器动态地将IP地址分配给设备，并在设备启动时记录其MAC地址。这允许设备在重启后自动获得正确的IP地址。

3. 检查机制：当设备发送数据包时，交换机或路由器会检查源IP地址是否与设备的MAC地址匹配。如果不匹配，设备会被阻止发送数据包，并且可能会生成告警或日志记录。

优点：

安全性提高：有效防止IP地址欺骗，增强网络的整体安全性。

易于管理：通过静态绑定，管理员可以更容易地管理和监控网络中的设备。

缺点：

灵活性降低：静态绑定可能导致网络管理不够灵活，特别是在大型动态变化的网络环境中。

配置复杂性：需要为每个设备手动配置IP和MAC地址绑定，增加了初始设置的复杂性。

总的来说，IPSG是一种有效的网络安全措施，适用于需要高安全性的网络环境。然而，它也需要适当的管理和配置，以确保网络的灵活性和可管理性。