IPSG 简介
IP 源防攻击 IPSG (IP Source Guard)是一种基于二层接口的源 IP 地址过来技术,它能够防止恶意主机伪造合法主机的 IP 地址来仿冒合法主机,还能确保非授权主机不能通过自己指定 IP 地址的方式在访问网络或攻击网络。
基于二层接口的源 IP 地址过滤技术
防止恶意主机伪造合法主机的 IP 地址来仿冒合法主机
确保非授权主机不能通过自己指定 IP 地址的方式来访问网络或攻击网络
工作原理
IPSG 理由绑定表(源 IP 地址、源 MAC 地址、所属 VLAN、入接口的绑定关系)去匹配检测二层接口上收到的 IP 报文,职业匹配绑定表的报文才允许通过,其他报文将被丢弃。
绑定表生成后,IPSG 基于绑定表向指定的接口或者指定的 VLAN 下方 ACL,有该 ACL 来匹配检查所有 IP 报文。
IPSG 接口角色:对非信任接口进行检查,仅支持在二层物理接口或者 VLAN上应用。
绑定表类型 | 生成过程 | 应用场景 |
静态绑定表 | 使用user-bind命令手工配置生成 | 主机数量较少且主机使用静态IP地址的场景 |
DHCP Snooping动态绑定表 | 配置DHCP Snooping 功能 | 主机数量较多且主机从DHCP服务器获取 IP 地址 |
配置命令
1、user-bind static ip-address mac-address //配置静态绑定
2、ip source check user-bind enable //开启 IPSG 功能
3、display dhcp static user-bind all //查看绑定表