DHCP snooping IPSG DAI一些应用经验.doc

DHCP snooping、IPSG、DAI的一些使用经验源自于一次客户的需求，客户网络中员工使用的都是静态IP，没有DHCP，客户的需求是，防止外来电脑设定一个内网IP，就能够访问内网的资源，但是客户静态IP的合法用户并不固定端口，也就是说合法的静态IP用户会抱着笔记本一会儿接这个端口，一会儿接那个端口，那么IP跟mac的绑定就不能与端口相关联起来。借这个机会研究了一下DHCP snooping、IPSG、DAI，在经过很多测试实验之后，找到了解决方法，也总结了些学习经验。一、 刚开始试了DAI，开启dhcp snooping的情况下，DAI会根据这个DHCP snooping的binding列表来检查端口来检查源arp包，但是客户没有dhcp server，做静态绑定的话又必须要跟接口关联 Switch(config)#ip source binding 1111.1111.1111 vlan 1 1.1.1.10 ? interface binding interface但是客户需要又不能跟接口关联，所以这个binding表是空的，那岂不就是谁都无法接入，之后试了一下，发现只开启DAI，而不开启dhcp snooping，这样，DAI不会检查dhcp binding表，而是匹配arp表转发，所以，只要手工写arp表项就好了，而且在开启DAI情况下， untrust接口不会学习arp，也就是说，一台陌生的pc接入网络，交换机不会将陌生pc的mac地址学来，而是会在手工写的mac地址表里面找条目，有他的mac地址，这台PC就能访问网络，没有，这台pc就不能访问网络，与接口无关。这个是我的MAC地址测试过程如下，交换机vlan1的SVI接口地址是1.1.1.1，pc地址是1.1.1.10，Switch(config)#ip arp inspection vlan 1这个是我随便加一个条目做测试Switch(config)#arp 1.1.1.10 60eb.69eb.b6ff ARPASwitch(config)#arp 1.1.1.20 2222.2222.2222 ARPA总共就配这两条命令，pc长ping 1.1.1.1，可以通虽然没有开dhcp snooping，但是还是show一下binding表，是空的查看arp表项，有手工写的arp表项，1.1.1.10对应我的mac我再no掉手工写的arp表项Switch(config)#no arp 1.1.1.10 60eb.69eb.b6ff ARPA查看arp表项，1.1.1.10对应的mac变成了incomplete，交换机不会自动学习陌生的mac地址了Ping包立刻中断交换机开始报DAI的log，无效的arp请求，我发的ping包请求网关mac是无效的*Mar 1 04:16:32.398: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Res) on Fa0/1, vlan 1.(60eb.69eb.b6ff/1.1.1.10/0019.e7aa.5f40/1.1.1.1/04:16:31 UTC Mon Mar 1 1993)这时我再加上arp条目Switch(config)#arp 1.1.1.10 60eb.69eb.b6ff ARPA立刻又能通了为了验证结论的准确性，我再开启dhcp snoopingSwitch(config)#ip dhcp snoopingSwitch(config)#ip dhcp snooping vlan 1ping包过了很久才中断，但好歹中断了，并且ping包断的时候交换机也开始报DAI的log，证明开启了dhcp binding， binding表是空时，即使arp有表项，也是无法接入的。然后我再关闭dhcp snoopingSwitch(config)no ip dhcp snooping vlan 1Switch(config)#no ip dhcp snooping还是一直不通，需要把接口shutdown/no showdown一下，就可以通了。最终确实证明了，未开启dhcp snooping时，只配置了DAI，数据包的转发会查arp表项。且交换机不会学习陌生的mac地址。客户这种情况，只需要将所有IP与mac对应关系写入arp表，在配置DAI，就能实现了。二、 接着，我又试验了IPSG同样先不配置dhcp snooping，只配置IPSGSwitch(config)interface FastEthernet0/1Switch(config-if)switchport mode accessSwitch(config-if)switchport port-security Switch(config-if)ip verify source然后clear arp清空一下mac表现在mac表项是没有我的mac记录的，我再ping 1.1.1.1通了，查看一下arp表项交换机学到了我的mac地址，并且记录到了mac地址表中。只开启IPSG的话，交换机还是会学习陌生的mac地址进行转发，所以IPSG不能达到客户这种需求。还发现一个问题，配置完整的DHCP snooping与IPSG，我用手工绑定mac、IP和接口Switch(config)ip source binding 60EB.69EB.B6FF vlan 1 1.1.1.10 interface Fa0/1这时候pc接入交换机F0/1接口，可以访问网络，但是查看binding表却是空的但是我no 掉手工绑定Switch(config)no ip source binding 60EB.69EB.B6FF vlan 1 1.1.1.10 interface Fa0/1Ping包立刻就中断了所以手工绑定还是起作用了，但是不知道为什么，show binding