H3C IP Source Guard命令.docx

《H3C IP Source Guard命令.docx》由会员分享，可在线阅读，更多相关《H3C IP Source Guard命令.docx（16页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、H3CIPSourceGuard命令命令手册安全分册IPSourceGuard目录目录第1章IPSourceGuard配置命令.1-11.1IPSourceGuard配置命令.1-11.1.1displayipchecksource.1-11.1.2displayuser-bind.1-31.1.3ipchecksource.1-41.1.4user-bind.1-5本文中标有“请以实际情况为准的特性描绘，表示各型号对于此特性的支持情况可能不同，本节将对此进行讲明。H3CMSR系列路由器参数支持情况、取值范围和缺省值讲明：命令参数SIC/DSIC交换卡XMIM交换卡MIM/FIC交换卡DMIM

2、/DFIC交换卡ipchecksourceip-address、ip-addressmac-address、mac-address不支持不支持三个参数都支持三个参数都支持user-bindip-addressip-address、mac-addressmac-address、ip-addressip-addressmac-addressmac-address不支持只支持mac-addressmac-address三个参数都支持三个参数都支持讲明：z根据设备对各种交换卡的支持不同，设备对IPSourceGuard功能支持有区别。如MSR20-1X只支持SIC/DSIC交换卡，故不支持对IPSou

3、rceGuard功能；此外，MSR30-11支持MIM和XMIM交换卡，在XMIM交换口上只支持静态绑定，在MIM交换口上静态绑定和动态绑定均支持。z设备对接口的实际支持情况请参见（H3CMSR20/30/50系列路由器接口模块及接口卡手册）。z静态绑定功能和动态绑定功能都只能在二层以太网接口下配置。zMSR系列路由器提供的交换卡对特性支持情况请参见本模块的配置手册。zH3CMSR系列各型号路由器均为集中式设备。zXMIM卡每端口最大静态绑定16个用户，MIM/FIC卡每端口最大静态绑定8个用户。zMIM/FIC卡上每端口最大动态绑定8个用户。第1章IPSourceGuard配置命令1.1IP

4、SourceGuard配置命令1.1.1displayipchecksource【命令】displayipchecksourceinterfaceinterface-typeinterface-number|ip-addressip-address|mac-addressmac-address【视图】任意视图【缺省级别】1：监控级【参数】interfaceinterface-typeinterface-number：显示指定端口的动态绑定表项。其中interface-typeinterface-number表示绑定的端口类型和端口编号。ip-addressip-address：显示指定IP地址

5、的动态绑定表项。其中ip-address表示绑定的IP地址。mac-addressmac-address：显示指定MAC地址的动态绑定表项。其中mac-address表示绑定的MAC地址，格式为H-H-H。【描绘】displayipchecksource命令用来显示动态绑定表项信息。需要注意的是，假如不指定任何参数，则显示所有端口的动态绑定表项。相关配置可参考命令ipchecksource。【举例】#显示所有动态绑定表项。displayipchecksourceTotalentriesfound:5MACIPVlanPortStatus040a-0000-400010.1.0.92Ethern

6、et1/1DHCP-SNPN/A10.1.0.82Ethernet1/1DHCP-SNP040a-0000-200010.1.0.72Ethernet1/1DHCP-SNP040a-0000-100010.1.0.6N/AEthernet1/2DHCP-RLY040a-0000-0000N/AN/AEthernet1/2DHCP-RLY表1-1displayipchecksource命令显示信息描绘表字段描绘Totalentriesfound:查询到的绑定条目总数MAC动态获取的绑定表项的MAC地址NA表示该表项不绑定MAC地址IP动态获取的绑定表项的IP地址NA表示该表项不绑定IP地址Vla

7、n动态获取的绑定表项所属的VLANNA表示该表项不绑定VLAN字段描绘Port绑定表项下发的端口Status动态获取绑定表项的类型1.1.2displayuser-bind【命令】displayuser-bindinterfaceinterface-typeinterface-number|ip-addressip-address|mac-addressmac-address【视图】任意视图【缺省级别】1：监控级【参数】interfaceinterface-typeinterface-number：显示指定端口的静态绑定表项。其中interface-typeinterface-number表示

8、绑定的端口类型和端口编号。ip-addressip-address：显示指定IP地址的静态绑定表项。其中ip-address表示绑定的IP地址。mac-addressmac-address：显示指定MAC地址的静态绑定表项。其中mac-address表示绑定的MAC地址，格式为H-H-H。【描绘】displayuser-bind命令用来显示静态绑定表项信息。需要注意的是，假如不指定任何参数，则显示所有端口的静态绑定表项。相关配置可参考命令user-bind。【举例】#显示所有端口的绑定配置。displayuser-bindTotalentriesfound:4MACIPVlanPortStat

9、usN/A1.1.1.1N/AEthernet1/1Static0001-0001-00012.2.2.2N/AEthernet1/1Static0003-0003-0003N/AN/AEthernet1/1Static0004-0004-00044.4.4.4N/AEthernet1/1Static表1-2displayuser-bind命令显示信息描绘表字段描绘Totalentriesfound:查询到的绑定条目总数MAC静态绑定表项的MAC地址NA表示没有配置MAC地址IP静态绑定表项的IP地址NA表示没有配置IP地址Vlan静态绑定表项目前不支持配置VLAN，统一用NA来显示Port静

10、态绑定表项的端口Status绑定表项的类型Static表示静态配置的表项1.1.3ipchecksource【命令】ipchecksourceip-address|ip-addressmac-address|mac-addressundoipchecksource【视图】以太网接口视图/VLAN接口视图【缺省级别】2：系统级【参数】ip-address：表示绑定源IP地址。本参数的支持情况与设备的型号有关，请以设备的实际情况为准。ip-addressmac-address：表示绑定源IP地址和MAC地址。本参数的支持情况与设备的型号有关，请以设备的实际情况为准。mac-address：表示绑定

11、源MAC地址。本参数的支持情况与设备的型号有关，请以设备的实际情况为准。【描绘】ipchecksource命令用来配置动态绑定功能。undo命令用来恢复缺省情况。缺省情况下，端口的动态绑定功能处于关闭状态。需要注意的是，z端口假如参加聚合组，则不能配置端口的动态绑定功能。z三层以太网接口能否支持该功能与设备的型号有关，请以设备的实际情况为准。相关配置可参考命令displayipchecksource。【举例】#在以太网接口Ethernet1/0上配置对报文的源IP和MAC地址的动态绑定功能。system-viewSysnameinterfaceethernet1/0Sysname-Ethern

12、et1/0ipchecksourceip-addressmac-address1.1.4user-bind【命令】user-bindip-addressip-address|ip-addressip-addressmac-addressmac-address|mac-addressmac-addressundouser-bindip-addressip-address|ip-addressip-addressmac-addressmac-address|mac-addressmac-address【视图】二层以太网接口视图【缺省级别】2：系统级【参数】ip-addressip-address：

13、指定静态绑定表项的IP地址。其中ip-address表示绑定的IP地址，必须为A、B、C三类地址之一，不能127.x.x.x和0.0.0.0。本参数的支持情况与设备的型号有关，请以设备的实际情况为准。mac-addressmac-address：指定静态绑定表项的MAC地址。其中mac-address表示绑定的MAC地址，格式为H-H-H，取值不能为全0、全F广播MAC和组播MAC。本参数的支持情况与设备的型号有关，请以设备的实际情况为准。【描绘】user-bind命令用来配置静态绑定表项。undouser-bind命令用来删除当前端口配置的静态绑定表项。缺省情况下，端口上无静态绑定表项。需要

14、注意的是：z绑定策略：不支持一个端口上一样表项的重复绑定。对于支持多端口绑定的产品，一样的表项能够在多个端口上绑定；对于不支持多端口绑定的产品，一样的表项只能在一个端口上绑定。z设备最多允许配置的绑定表项数量与设备的型号有关，请以设备的实际情况为准。z端口假如参加聚合组，则不能配置静态绑定表项。z静态绑定不支持对VLAN进行绑定。相关配置可参考命令displayuser-bind。【举例】#在端口Ethernet1/1上配置一条静态绑定表项绑定IPMAC。system-viewSysnameinterfaceethernet1/1Sysname-Ethernet1/1user-bindip-address192.168.0.1mac-address0001-0001-0001