网络设备管理之交换机端口绑定技术

网络设备管理之交换机端口绑定技术
实验拓扑：

实验内容：
某网络改造项目，核心交换机S5700，接入交换机为不同型号交换机。拓扑如上图，客户接入交换机1通过access模式与核心交换机连接；客户接入交换机2通过trunk模式和核心交换机连接，该交换机下有连个vlan，vlan 3 192.168.3.0/24及vlan 4 192.168.4.0/24，所有客户端及服务器的网关均位于核心交换机上。
网络缺陷：
目前网络管理松散，IP管理不完善，客户可以任意接入，外单位人员将PC设备设置相应网段也可以接入（在写字楼中比较常见），对当前网络造成管理困难及安全隐患，客户希望本次网络改造中将所有客户端IP与MAC地址绑定。未绑定客户端是不能接入网络，对于服务器网段不进行配置（即未配置网段不受影响）。
解决方案：
客户端接入接入交换机上进行IP+MAC绑定+端口绑定，其他未使用端口关闭；由于是生产型网络，不便于逐个破解密码然后绑定，故选择在核心交换机上做DHCP snooping的静态绑定来实现IP+MAC绑定+端口绑定，具体思路是在VLAN下配置静态绑定表，绑定客户端的IP和MAC地址，然后在与接入交换机的端口上配置IP和ARP报文检测功能。
实验步骤：
1.完成基本配置


2.交换机的配置
在核心交换机LSW2上划分vlan 并给vlan配置虚拟网关

sys
[Huawei]sys LSW2
[LSW2]undo in e
[LSW2]vlan b 2 to 5
[LSW2]int vlanif 2
[LSW2-Vlanif2]ip add 192.168.2.1 24
[LSW2-Vlanif2]int vlanif 3
[LSW2-Vlanif3]ip add 192.168.3.1 24
[LSW2-Vlanif3]int vlanif 4
[LSW2-Vlanif4]ip add 192.168.4.1 24
[LSW2-Vlanif4]int vlanif 5
[LSW2-Vlanif5]ip add 192.168.5.1 24
[LSW2-Vlanif5]q
[LSW2]
2.1.核心交换机上配置配置要求的链路类型和指定的端口

[LSW2]int g0/0/1
[LSW2-GigabitEthernet0/0/1]p l a
[LSW2-GigabitEthernet0/0/1]p d v 5
[LSW2-GigabitEthernet0/0/1]int g0/0/2
[LSW2-GigabitEthernet0/0/2]p l a
[LSW2-GigabitEthernet0/0/2]p d v 2
[LSW2-GigabitEthernet0/0/2]q

[LSW2]int g0/0/3
[LSW2-GigabitEthernet0/0/3]p l t
[LSW2-GigabitEthernet0/0/3]p t a v a
[LSW2-GigabitEthernet0/0/3]q
[LSW2]
2.2.客户端接入交换机2的配置

[LSW4]
[LSW4]undo in e
[LSW4]vlan b 3 4
[LSW4]int e0/0/1
[LSW4-Ethernet0/0/1]p l a
[LSW4-Ethernet0/0/1]p d v 3
[LSW4-Ethernet0/0/1]int e0/0/2
[LSW4-Ethernet0/0/2]p l a
[LSW4-Ethernet0/0/2]p d v 4
[LSW4-Ethernet0/0/2]int g0/0/1
[LSW4-GigabitEthernet0/0/1]p l t
[LSW4-GigabitEthernet0/0/1]p t a v a
[LSW4-GigabitEthernet0/0/1]
2.3客户端配置基本信息后进行测试（用客户端4访问服务器进行测试）

客户端client4可以访问服务器client 5.
2.4 配置IP+MAC+端口绑定，启用DHCP Snooping功能，
在核心交换机LSW2上完成，步骤如下：

对目标vlan启用vlan功能检测，验证截图如下


[LSW2]vlan 2
[LSW2-vlan2]dhcp snooping enable
[LSW2-vlan2]vlan 3
[LSW2-vlan3]dhcp snooping enable
[LSW2-vlan3]vlan 4
[LSW2-vlan4]dhcp snooping enable
[LSW2-vlan4]q
2.5 对目标端口启用端口检测功能

[LSW2-GigabitEthernet0/0/5]undo port default vlan
[LSW2-GigabitEthernet0/0/5]int g0/0/1
[LSW2-GigabitEthernet0/0/1]p l a
[LSW2-GigabitEthernet0/0/1]p d v 5
[LSW2-GigabitEthernet0/0/1]int g0/0/2
[LSW2-GigabitEthernet0/0/2]p l a
[LSW2-GigabitEthernet0/0/2]p d v 2
[LSW2-GigabitEthernet0/0/2]int g0/0/3
[LSW2-GigabitEthernet0/0/3]p l a
[LSW2-GigabitEthernet0/0/3]p t a v a
[LSW2-GigabitEthernet0/0/3]arp anti-attack check user-bind enable
2.6 绑定客户端IP+MAC+端口，截图如下

[LSW2]user-bind static ip-address 192.168.2.2 mac-address 5489-98c3-0d86 interfa
ce g0/0/2
[LSW2]user-bind static ip-address 192.168.4.2 mac-address 5489-9802-5100 interfa
ce g0/0/3
[LSW2]user-bind static ip-address 192.168.4.2 mac-address 5489-9802-5100 interfa
ce g0/0/3
结果测试如下：

小结：IP+MAC+端口的绑定，可以提高网络的管理能力。