思科交换机配置IP DHCP SNOOPING、DAI、IPSG例子

xiaui520

　　几个月来，我一直在想你。
　　一、网络拓扑

　　

　　二、说明
　　1、拓扑说明：汇聚层交换机为CATALYST4506，核心交换机为CATALYST6506，接入层交换机为CATALYST2918。4506上启 用IP DHCPSNOOPING和DAI以及IPSG，4506上连和下连的端口均配置为TRUNKING；6506上配置VLAN路由和DHCP服务器；2918配置 基于端口的VLAN。
　　2、DHCP SNOOPING就像一个工作在非信任端口（连接主机或网络设备）和信任端口（连接DHCP SERVER或者网络设备）之间的防火墙，其DHCP SNOOPING BINDING DATABASE中保存着非信任端口下所连设备的MAC  address, the IP address, the lease time, the binding type, the VLAN  number, and the interface information等信息，但不保存信任端口所连设备的信息；在交换机上开启IP DHCP SNOOPING后，接口将工作在二层桥接状态，截取和保护通往二层VLAN的DHCP消息；在VLAN上开启IP DHCP  SNOOPING后，交换机将工作在同一个VLAN域内的二层桥接状态。
　　3、思科交换机在全局配置模式下开启IP DHCP SNOOPING后，所有端口默认处于DHCP  SNOOPING UNTRUSTED模式下，非信任端口接收到的DHCP OFFER、DHCP ACK、DHCP NAK、DHCP  LEASEQUERY报文将被丢弃；信任端口正常接收转发，不进行监测。
　　4、交换机在RELOAD或重启后会丢失DHCP SNOOPING  BINDING数据库，因此要将此表保存在交换机的FLASH或者保存在一个TFTP服务器中，使交换机在RELOAD或重启后可以从中读取信息，重新形成DHCP SNOOPING BINDING数据库。比如下面这条命令：renew ip dhcp snoop data  tftp://192.169.200.1/snooping.dat。
　　5、思科交换机在全局配置模式下开启IP DHCP SNOOPING后，所有的DHCP RELAYINFORMATION OPTION功能全部关闭。
　　6、根据思科的英文资料来看，说一个汇聚层交换机开启DHCP  SNOOPING后，当其下连一个具有嵌入DHCP option-82  information的边缘交换机，且下连端口为非信任端口时，汇聚层交换机将丢弃从此端口接收到的具有option-82  information的DHCP报文；但当在汇聚层交换机上开启IP DHCP SNOOPING INFORMATION OPTION  ALLOW-UNTRUSTED功能后，此时下连边缘交换机的端口虽然仍为非信任端口，但可以正常从此端口接收具有option-82  information的DHCP报文。
　　根据上面的分析，我理解如下，不知道对不对：思科交换机在全局配置模式下开启IP DHCP  SNOOPING后，所有端口默认处于DHCP SNOOPING UNTRUSTED模式下，但DHCP SNOOPING INFORMATION OPTION功能默认是开启的，此时DHCP报文在到达一个SNOOPING UNTRUSTED端口时将被丢弃。因此，必须在4506配置IP  DHCP SNOOPING INFORMATION OPTION ALLOW-UNTRUSTED命令（默认关闭），以允许4506从DHCP  SNOOPING UNTRUSTED端口接收带有OPTION 82的DHCP REQUEST报文。建议在交换机上关闭DHCP  INFORMATION OPTION，即全局配置模式下NO IP DHCP SNOOPING INFORMATION OPTION。
　　7、对于允许手工配置IP地址等参数的客户端，可以手工添加绑定条目到DHCP SNOOPING  BINDING数据库中。ip dhcp snooping binding 00d0.2bd0.d80a vlan 100 222.25.77.100interface gig1/1 expiry  600表示手工添加一条MAC地址为00d0.2bd0.d80a，IP地址为222.25.77.100，接入端口为GIG1/1，租期时间为600秒的绑定条目。
　　8、IPSG即IP SOURCE GUARD是在DHCP SNOOPING功能的基础上，形成IP  SOURCE  BINDING表，只作用在二层端口上。启用IPSG的端口，会检查接收到所有IP包，只转发与此绑定表的条目相符合的IP包。默认IPSG只以源IP地址为条件过滤IP包，如果加上以源MAC地址为条件过滤的话，必须开启DHCP SNOOPING INFORMAITON OPTION 82功能。
　　9、DAI即DYNAMIC ARP INSPECTION也是以DHCP SNOOPING  BINDING DATABASE为基础的，也区分为信任和非信任端口，DAI只检测非信任端口的ARP包，可以截取、记录和丢弃与SNOOPING  BINDING中IP地址到MAC地址映射关系条目不符的ARP包。如果不使用DHCP SNOOPING，则需要手工配置ARP ACL。
　　三、配置
　　1、2918
　　Switch#configure terminal       //全局配置模式
　　Switch(config)# interface range fa0/1 - 12
　　Switch(config-if-range)# switchport access vlan  100
　　Switch(config-if-range)# interface range fa0/13 -  24
　　Switch(config-if-range)# switchport access vlan  200
　　Switch(config-if-range)# interface gig0/1 //上连4506的端口
　　Switch(config-if)# //这里可不做配置，也可手工配置TRUNK
　　2、4506
　　Switch# configure terminal
　　Switch(config)# vtp version 2
　　Switch(config)# vtp mode client
　　Switch(config)# vtp domain gzy
　　Switch(config)# vtp password gzy123
　　Switch(config)# vlan 100
　　Switch(config)# vlan 200
　　Switch(config)# ip dhcp snooping    //开启交换机的dhcp snooping功能
　　Switch(config)# ip dhcp snooping vlan 100,200 //在VLAN100和200中开启dhcp snooping功能
　　Switch(config)# no ip dhcp snooping information  option    //禁止在DHCP报文中嵌入和删除option 82信息
　　Switch(config)# ip dhcp snooping database  tftp://192.168.200.1/snooping.dat
　　//将dhcp snooping  database保存在tftp服务器（IP地址192.168.200.1）的snooping.dat文件中
　　Switch(config)# ip arp inspection vlan  100,200   //在VLAN100和200中开启DAI功能
　　Switch(config)# ip arp inspection validate  src-mac ip   //以源MAC和IP检测ARP包是否合法
　　Switch(config)# interface gig1/1   //上连6506的端口
　　Switch(config-if)# switchport trunk  encapsulation dot1q
　　Switch(config-if)# switchport mode trunk
　　Switch(config-if)# ip dhcp snooping trust
　　Switch(config-if)# ip arp inspection trust
　　Switch(config-if)# interface gig2/2  //下连2918的端口
　　Switch(config-if)# switchport trunk  encapsulation dot1q
　　Switch(config-if)# switchport mode trunk
　　Switch(config-if)# ip arp inspection limit  none
　　Switch(config-if)# ip verify source vlan  dhcp-snooping
　　Switch(config-if)# end
　　Switch(config)# copy run start
　　四、备注
　　写到后面越来越懒了，基本上就是这样了。6506上的配置不写了，很简单。因为2918不支持上述功能，因此只能在4506上做，但这样就只能在4506下连2918的端口上来启用这些功能，在2918上发生的欺骗就无法防止了。没办法，思科的做法很奇怪。现在很多国内厂家的接入层交换机都可以实现这些功能，比如Quidway、H3C、神洲数码、锐捷等。由于水平有限，写的不对的地方请高手指正。
　　
无忧网客联盟专业讨论网络技术，CCNACCNPCCIECCSP
文章转载至http://bbs.net527.cn  无忧网客联盟
　　无忧linux时代
             版权声明：本文为博主原创文章，未经博主允许不得转载。