dhcp snooping ipsg dai一些应用经验

《dhcp snooping ipsg dai一些应用经验》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、DHCPsnooping、IPSG、DAI的一些使用经验源自于一次客户的需求，客户网络中员工使用的都是静态IP，没有DHCP，客户的需求是，防止外来电脑设定一个内网IP，就能够访问内网的资源，但是客户静态IP的合法用户并不固定端口，也就是说合法的静态IP用户会抱着笔记本一会儿接这个端口，一会儿接那个端口，那么IP跟mac的绑定就不能与端口相关联起来。借这个机会研究了一下DHCPsnooping、IPSG、DAI，在经过很多测试实验之后，找到了解决方法，也总结了些学习经验。一、刚开始试了DAI，开启dhcpsnooping的情况下，，DAI会根据这个DHCPsnoo

2、ping的binding列表来检查端口来检查源arp包，但是客户没有dhcpserver，做静态绑定的话又必须要跟接口关联Switch(config)#ipsourcebinding1111.1111.1111vlan11.1.1.10?interfacebindinginterface但是客户需要又不能跟接口关联，所以这个binding表是空的，那岂不就是谁都无法接入，之后试了一下，发现只开启DAI，而不开启dhcpsnooping，这样，DAI不会检查dhcpbinding表，而是匹配arp表转发，所以，只要手工写arp表项就好了，而且在开启DAI情况下，un

3、trust接口不会学习arp，也就是说，一台陌生的pc接入网络，交换机不会将陌生pc的mac地址学来，而是会在手工写的mac地址表里面找条目，有他的mac地址，这台PC就能访问网络，没有，这台pc就不能访问网络，与接口无关。这个是我的MAC地址测试过程如下，交换机vlan1的SVI接口地址是1.1.1.1，pc地址是1.1.1.10，Switch(config)#iparpinspectionvlan1这个是我随便加一个条目做测试Switch(config)#arp1.1.1.1060eb.69eb.b6ffARPASwitch(config)#arp1.1.1.

4、202222.2222.2222ARPA总共就配这两条命令，pc长ping1.1.1.1，可以通虽然没有开dhcpsnooping，但是还是show一下binding表，是空的查看arp表项，有手工写的arp表项，1.1.1.10对应我的mac我再no掉手工写的arp表项Switch(config)#noarp1.1.1.1060eb.69eb.b6ffARPA查看arp表项，1.1.1.10对应的mac变成了incomplete，交换机不会自动学习陌生的mac地址了Ping包立刻中断交换机开始报DAI的log，无效的arp请求，我发的ping包请求网关mac是无

5、效的*Mar104:16:32.398:%SW_DAI-4-DHCP_SNOOPING_DENY:1InvalidARPs(Res)onFa0/1,vlan1.([60eb.69eb.b6ff/1.1.1.10/0019.e7aa.5f40/1.1.1.1/04:16:31UTCMonMar11993])这时我再加上arp条目Switch(config)#arp1.1.1.1060eb.69eb.b6ffARPA立刻又能通了为了验证结论的准确性，我再开启dhcpsnoopingSwitch(config)#ipdhcpsnoopingSwitch(config)#

6、ipdhcpsnoopingvlan1ping包过了很久才中断，但好歹中断了，并且ping包断的时候交换机也开始报DAI的log，证明开启了dhcpbinding，binding表是空时，即使arp有表项，也是无法接入的。然后我再关闭dhcpsnoopingSwitch(config)noipdhcpsnoopingvlan1Switch(config)#noipdhcpsnooping还是一直不通，需要把接口shutdown/noshowdown一下，就可以通了。最终确实证明了，未开启dhcpsnooping时，只配置了DAI，数据包的转发会查arp表项。且交换

7、机不会学习陌生的mac地址。客户这种情况，只需要将所有IP与mac对应关系写入arp表，在配置DAI，就能实现了。一、接着，我又试验了IPSG同样先不配置dhcpsnooping，只配置IPSGSwitch(config)interfaceFastEthernet0/1Switch(config-if)switchportmodeaccessSwitch(config-if)switchportport-securitySwitch(config-if)ipverifysource然后cleararp清空一下mac表现在mac表项是没有我的mac记录的，我再pin

8、g1.1.