交换机配置基于DHCP Snooping动态绑定表的IPSG

以下通过示例介绍如何配置基于DHCP Snooping动态绑定表的IPSG。

配置DHCP Snooping功能，指定GE0/0/1为信任接口，并在GE0/0/2上使能IPSG。

<HUAWEI> system-view
[HUAWEI] dhcp enable
[HUAWEI] dhcp snooping enable
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] dhcp snooping trusted
[HUAWEI-GigabitEthernet0/0/1] quit
[HUAWEI] interface gigabitethernet 0/0/2
[HUAWEI-GigabitEthernet0/0/2] dhcp snooping enable
[HUAWEI-GigabitEthernet0/0/2] ip source check user-bind enable

配置DHCP Snooping功能，指定GE0/0/1为信任接口，并在VLAN10上使能IPSG。

<HUAWEI> system-view
[HUAWEI] vlan batch 10
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] port link-type trunk
[HUAWEI-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
[HUAWEI-GigabitEthernet0/0/1] quit
[HUAWEI] dhcp enable
[HUAWEI] dhcp snooping enable
[HUAWEI] vlan 10
[HUAWEI-vlan10] dhcp snooping enable
[HUAWEI-vlan10] dhcp snooping trusted interface gigabitethernet 0/0/1
[HUAWEI-vlan10] ip source check user-bind enable

以上配置，不能解决手动私自配置IP地址，导致的arp冲突问题：

建议在上以配置里增加：

全局或是对应vlan开启arp严格学习。arp learning strict

或者，arp anti-attack entry-check enable命令用来使能ARP防地址欺骗功能。

arp anti-attack entry-check { fixed-mac | fixed-all | send-ack } enable

参数 参数说明 取值
fixed-mac 按固定MAC方式运行ARP防欺骗功能。固定MAC指的是不允许通过ARP学习对MAC地址进行修改，但允许对VLAN和接口信息进行修改。 -
fixed-all 按固定所有参数的方式运行ARP防欺骗功能。固定所有参数指的是对动态ARP和已解析的静态ARP，MAC、VLAN和接口信息均不允许修改。 -
send-ack 按查询确认方式运行ARP防欺骗功能。查询确认指的是S7700收到一个涉及MAC地址、VLAN、接口修改的ARP报文时，不会立即进行修改，而是先记录发送请求的表项信息，对原ARP表中与此ARP报文中的MAC地址对应的用户发一个单播确认，在收到ACK后删除该表项。

转载于:https://blog.51cto.com/391055/2064461