华为交换机user-bind IPSG实机配置

绑定IP、MAC、VLAN安全接入)

user-bind static与 arp static 的区别

一、原理区别：
1、arp static 是用于做arp表的静态持久化，在ARP表项匹配时生效
2、user-bind static 是用于在数据包进入时进行筛选过滤，在入向接口匹配生效。属于IPSG应用

二、绑定生效规则：
arp static 类似黑名单制
1、IP及MAC均匹配正确 规则生效，放通。
2、IP-MAC无匹配（IP及MAC均无匹配）规则无效，底层放通。
3、IP或MAC有其中一方匹配上，另一方匹配错误，即规则生效，拦截。

user-bind static 类似白名单制（结合vlan或端口中使用 ip source check user-bind enable 进行IPSG检查）
1、IP及MAC均匹配正确 规则生效，放通。
2、IP-MAC无匹配（IP及MAC均无匹配）规则生效，拦截。
3、IP或MAC有其中一方匹配上，另一方匹配错误，即规则生效，拦截。

三、使用前提
1、arp static 直接作用于全局，无需借助其它功能做铺垫
2、user-bind static 必须结合ip source check user-bind enable 进行IPSG的检查部署。并且可以通过 dhcp snooping trusted 的方式来放通接口信任

user-bind static 的应用

SW1:

[SW1]vlan batch 100 200 300
[SW1]interface Vlanif 100
[SW1-Vlanif100]ip address 192.168.1.1 24
[SW1]interface Vlanif 200
[SW1-Vlanif200]ip address 192.168.2.1 24
[SW1]interface Vlanif 300
[SW1-Vlanif300]ip address 192.168.3.1 24
[SW1]interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0/0/3]port link-type access
[SW1-GigabitEthernet0/0/3]port default vlan 300
[SW1]interface GigabitEthernet 0/0/5
[SW1-GigabitEthernet0/0/5]port link-type access
[SW1-GigabitEthernet0/0/5]port default vlan 200
[SW1]interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 100
[SW1]interface Eth-Trunk 0
[SW1-Eth-Trunk0]port link-type trunk
[SW1-Eth-Trunk0]port trunk allow-pass vlan 100 200 300
[SW1-Eth-Trunk0]trunkport GigabitEthernet 0/0/1
[SW1-Eth-Trunk0]trunkport GigabitEthernet 0/0/4
[SW1]dhcp enable
[SW1]dhcp snooping enable
[SW1]user-bind static ip-address 192.168.1.10 mac-address 5489-989A-2605 vlan 100 #绑定IP-MAC 到VLAN100
[SW1]user-bind static ip-address 192.168.2.10 mac-address 5489-980B-6D74 vlan 200 #绑定IP-MAC 到VLAN200
[SW1]user-bind static ip-address 192.168.3.10 mac-address 5489-9868-129A vlan 300 #绑定IP-MAC 到VLAN300（根据无线AP固定分配的IP与MAC进行绑定）
[SW1]vlan 100
[SW1-vlan100]ip source check user-bind enable #开启IPSG检查
[SW1-vlan100]dhcp snooping enable #开启vlan dhcp snooping 功能，防止接入错误的DHCP服务器
[SW1-vlan200]ip source check user-bind enable
[SW1-vlan200]dhcp snooping enable
[SW1-vlan300]ip source check user-bind enable
[SW1-vlan300]dhcp snooping enable
[SW1]interface Eth-Trunk 0
[SW1-Eth-Trunk0]dhcp snooping trusted #在eth-trunk上设置dhcp snooping trusted 信任，否则当数据三层转发时MAC发生翻转会导致user-bind 匹配错误

SW2:

[SW2]vlan batch 100 200 300
[SW2]interface Vlanif 100
[SW2-Vlanif100]ip address 192.168.1.2 24
[SW2]interface Vlanif 200
[SW2-Vlanif200]ip address 192.168.2.2 24
[SW2]interface Vlanif 300
[SW2-Vlanif300]ip address 192.168.3.2 24 #为方便在sw2上做本地三层转发，因此需配置一下vlan ip
[[SW2]interface GigabitEthernet 0/0/2
[SW2-GigabitEthernet0/0/2]port link-type access
[SW2-GigabitEthernet0/0/2]port default vlan 200
[SW2]interface GigabitEthernet 0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access
[SW2-GigabitEthernet0/0/3]port default vlan 100
[SW2]interface Eth-Trunk 0
[SW2-Eth-Trunk0]port link-type trunk
[SW2-Eth-Trunk0]port trunk allow-pass vlan 100 200 300
[SW2-Eth-Trunk0]trunkport GigabitEthernet 0/0/1
[SW2-Eth-Trunk0]trunkport GigabitEthernet 0/0/4
[SW2]dhcp enable
[SW2]dhcp snooping enable
[SW2]user-bind static ip-address 192.168.2.20 mac-address 5489-986F-1264 vlan 200 #绑定IP-MAC 到VLAN200
[SW2]user-bind static ip-address 192.168.1.20 mac-address 5489-987A-41C0 vlan 100 #绑定IP-MAC 到VLAN100
[SW2]vlan 100
[SW2-vlan100]ip source check user-bind enable #与SW1一样开启IPSG检查
[SW2-vlan100]dhcp snooping enable #与SW1一样开启vlan dhcp snooping 功能，防止接入错误的DHCP服务器
[SW2-vlan200]ip source check user-bind enable
[SW2-vlan200]dhcp snooping enable
[SW2-vlan300]ip source check user-bind enable
[SW2-vlan300]dhcp snooping enable
[SW2]interface Eth-Trunk 0
[SW2-Eth-Trunk0]dhcp snooping trusted #与SW1一样在eth-trunk上设置dhcp snooping trusted 信任，否则当数据三层转发时MAC发生翻转会导致user-bind 匹配错误

以上是eth-trunk 的绑定方式，trunk类型 在接口上直接应用 dhcp snooping trusted 即可

注意事项

ENSP虽能进行配置，但IPSG不生效。以上方案是在实机上验证配置的