dhcp snooping ipsg dai一些應(yīng)用經(jīng)驗(yàn)

1、DHCPsnooping、IPSG、DAI的一些使用經(jīng)驗(yàn)源自于一次客戶的需求，客戶網(wǎng)絡(luò)中員工使用的都是靜態(tài)IP，沒有DHCP，客戶的需求是，防止外來(lái)電腦設(shè)定一個(gè)內(nèi)網(wǎng)IP，就能夠訪問(wèn)內(nèi)網(wǎng)的資源，但是客戶靜態(tài)IP的合法用戶并不固定端口，也就是說(shuō)合法的靜態(tài)IP用戶會(huì)抱著筆記本一會(huì)兒接這個(gè)端口，一會(huì)兒接那個(gè)端口，那么IP跟mac的綁定就不能與端口相關(guān)聯(lián)起來(lái)。借這個(gè)機(jī)會(huì)研究了一下DHCPsnooping、IPSG、DAI，在經(jīng)過(guò)很多測(cè)試實(shí)驗(yàn)之后，

2、找到了解決方法，也總結(jié)了些學(xué)習(xí)經(jīng)驗(yàn)。一、剛開始試了DAI，開啟dhcpsnooping的情況下，，DAI會(huì)根據(jù)這個(gè)DHCPsnooping的binding列表來(lái)檢查端口來(lái)檢查源arp包，但是客戶沒有dhcpserver，做靜態(tài)綁定的話又必須要跟接口關(guān)聯(lián)Switch(config)#ipsourcebinding1111.1111.1111vlan11.1.1.10interfacebindinginterface但是客戶需要又不能跟接口

3、關(guān)聯(lián)，所以這個(gè)binding表是空的，那豈不就是誰(shuí)都無(wú)法接入，之后試了一下，發(fā)現(xiàn)只開啟DAI，而不開啟dhcpsnooping，這樣，DAI不會(huì)檢查dhcpbinding表，而是匹配arp表轉(zhuǎn)發(fā)，所以，只要手工寫arp表項(xiàng)就好了，而且在開啟DAI情況下，untrust接口不會(huì)學(xué)習(xí)arp，也就是說(shuō)，一臺(tái)陌生的pc接入網(wǎng)絡(luò)，交換機(jī)不會(huì)將陌生pc的mac地址學(xué)來(lái)，而是會(huì)在手工寫的mac地址表里面找條目，有他的mac地址，這臺(tái)PC就能訪問(wèn)網(wǎng)絡(luò)，

4、沒有，這臺(tái)pc就不能訪問(wèn)網(wǎng)絡(luò)，與接口無(wú)關(guān)。測(cè)試過(guò)程如下，交換機(jī)vlan1的SVI接口地址是1.1.1.1，pc地址是1.1.1.10，Switch(config)#iparpinspectionvlan1Switch(config)#arp1.1.1.1060eb.69eb.b6ffARPASwitch(config)#arp1.1.1.202222.2222.2222ARPA總共就配這兩條命令，pc長(zhǎng)ping1.1.1.1，可以通雖然

5、沒有開dhcpsnooping，但是還是show一下binding表，是空的查看arp表項(xiàng)，有手工寫的arp表項(xiàng)，1.1.1.10對(duì)應(yīng)我的mac我再no掉手工寫的arp表項(xiàng)Switch(config)#noarp1.1.1.1060eb.69eb.b6ffARPA查看arp表項(xiàng)，1.1.1.10對(duì)應(yīng)的mac變成了incomplete，交換機(jī)不會(huì)自動(dòng)學(xué)習(xí)陌生的這個(gè)是我的MAC地址這個(gè)是我隨便加一個(gè)條目做測(cè)試二、接著，我又試驗(yàn)了IPSG同樣

6、先不配置dhcpsnooping，只配置IPSGSwitch(config)interfaceFastEther01Switch(configif)switchptmodeaccessSwitch(configif)switchptptsecuritySwitch(configif)ipverifysource然后cleararp清空一下mac表現(xiàn)在mac表項(xiàng)是沒有我的mac記錄的，我再ping1.1.1.1通了，查看一下arp表項(xiàng)交換

7、機(jī)學(xué)到了我的mac地址，并且記錄到了mac地址表中。只開啟IPSG的話，交換機(jī)還是會(huì)學(xué)習(xí)陌生的mac地址進(jìn)行轉(zhuǎn)發(fā)，所以IPSG不能達(dá)到客戶這種需求。還發(fā)現(xiàn)一個(gè)問(wèn)題，配置完整的DHCPsnooping與IPSG，我用手工綁定mac、IP和接口Switch(config)ipsourcebinding60EB.69EB.B6FFvlan11.1.1.10interfaceFa01這時(shí)候pc接入交換機(jī)F01接口，可以訪問(wèn)網(wǎng)絡(luò)，但是查看bind