利用Cisco交换机解决IP地址冲突.doc

《利用Cisco交换机解决IP地址冲突.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、利用Cisco交换机解决IP地址冲突、篡改MAC地址的完美方法（管理除外）2010-01-1814:54:40来源:作者:【大中小】浏览:134次评论:0条使用的方法是采用DHCP方式为用户分配IP，然后限定这些用户只能使用动态IP的方式，如果改成静态IP的方式则不能连接上网络；也就是使用了DHCPSNOOPING功能。例子：version12.1noservicepadservicetimestampsdebuguptimeservicetimestampsloguptimenoservicepassword-encryptionservi

2、cecompress-config!hostnameC4-2_4506!enablepasswordxxxxxxx!clocktimezoneGMT8ipsubnet-zeronoipdomain-lookup!ipdhcpsnoopingvlan180-181//对哪些VLAN进行限制ipdhcpsnoopingiparpinspectionvlan180-181iparpinspectionvalidatesrc-macdst-maciperrdisablerecoverycauseudlderrdisablerecoverycauseb

3、pduguarderrdisablerecoverycausesecurity-violationerrdisablerecoverycausechannel-misconfigerrdisablerecoverycausepagp-flaperrdisablerecoverycausedtp-flaperrdisablerecoverycauselink-flaperrdisablerecoverycausel2ptguarderrdisablerecoverycausepsecure-violationerrdisablerecovery

4、causegbic-invaliderrdisablerecoverycausedhcp-rate-limiterrdisablerecoverycauseunicast-flooderrdisablerecoverycausevmpserrdisablerecoverycausearp-inspectionerrdisablerecoveryinterval30spanning-treeextendsystem-id!!interfaceGigabitEthernet2/1//对该端口接入的用户进行限制，可以下联交换机iparpinspec

5、tionlimitrate100arptimeout2ipdhcpsnoopinglimitrate100!interfaceGigabitEthernet2/2iparpinspectionlimitrate100arptimeout2ipdhcpsnoopinglimitrate100!interfaceGigabitEthernet2/3iparpinspectionlimitrate100arptimeout2ipdhcpsnoopinglimitrate100!interfaceGigabitEthernet2/4iparpinsp

6、ectionlimitrate100arptimeout2ipdhcpsnoopinglimitrate100--More--简单介绍一下这个解决方案的来历:我是某个高校的网络管理员（假假的），我校所有学生宿舍区、教学区都使用了CISCO的设备接入了网络（有8台CISCO6509,2台CISCO7613，30多台的CISCO4506,二百多台的各系列的CISCO2950，学生入网数目>10000），与其他人的问题一样，我们的最大问题就IP地址冲突的问题，以前我们的解决办法是在2950上把IP与端口绑定，但是，在2004年的时候，我们又购买了一

7、大批的CISCO2950T-48-SI，而这些设备不支持二层的ACL，所以上述的方法失效了。就这个问题，我们和网络集成商、思科的技术人员讨论了许久的以求解决方案，虽然他们好几个都是什么CCIE的，但就是没有什么好的方案。直到在04年底我参加了思科在北京的用户大会，与思科总部的一个鬼佬CCIE讨论，他给出了上诉的解决方案。回来后立即实施，效果非常理想。IPSourceGuardSimilartoDHCPsnooping,thisfeatureisenabledonaDHCPsnoopinguntrustedLayer2port.Initiall

8、y,allIPtrafficontheportisblockedexceptforDHCPpacketsthatarecapturedbytheDHCPsnoopi