高级应用-QACL之绑定

3/1/2008来源:华为网络人气:5938

ip+MAC+端口绑定

1         功能需求及组网说明

高级应用-QACL之绑定(图一)
IP地址绑定 『配置环境参数』 用户的IP地址10.1.1.2,MAC地址0000-0000-0001 『组网需求』 对合法的用户进行ip+mac+端口的绑定,防止恶意用户通过更换自己的地址上网的行为。

2         数据配置步骤

『IP+MAC+端口绑定流程』 三层交换机中目前只有S3526系列支持使用AM命令来进行IP地址和端口的绑定。并且假如S3526系列交换机要采用AM命令来实现绑定功能,则交换机必须是做三层转发(即用户的网关应该在该交换机上)。 【采用DHCP-SECURITY来实现】 1.      配置端口的静态MAC地址 [SwitchA]mac-address static 0000-0000-0001 interface e0/1 vlan 1 2.      配置IP和MAC对应表 [SwitchA]dhcp-security 10.1.1.2 0000-0000-0001 static 3.      配置dhcp-server组号(否则不答应执行下一步,此dhcp-server组不用在交换机上创建也可) [SwitchA-Vlan-interface1]dhcp-server 1 4.      使能三层地址检测 [SwitchA-Vlan-interface1]address-check enable 【采用AM命令来实现】 1.      使能AM功能 [SwitchA]am enable 2.      进入端口视图 [SwitchA]vlan 10 3.      将E0/1加入到vlan10 [SwitchA-vlan10]port Ethernet 0/1 4.      创建(进入)vlan10的虚接口 [SwitchA]interface Vlan-interface 10 5.      给vlan10的虚接口配置IP地址 [SwitchA-Vlan-interface10]ip add 10.1.1.1 255.255.255.0 6.      进入E0/1端口 [SwitchA]interface Ethernet 0/1 7.      该端口只答应起始IP地址为10.1.1.2的10个IP地址上网 [SwitchA-Ethernet0/1]am ip-pool 10.1.1.2 10
通过ACL实现的各种绑定的配置进入讨论组讨论。

1         功能需求及组网说明

高级应用-QACL之绑定(图二)

各种绑定的配置 『配置环境参数』 1.      三层交换机SwitchA有两个端口ethetnet 0/1、ethernet 0/2分别属于vlan 1、vlan 2 2.      vlan 1、vlan 2的三层接口地址分别是1.0.0.1/8、2.0.0.1/8,上行口G 1/1是trunk端口,并答应vlan 3 通过 『组网需求』 1.      静态mac、端口捆绑:端口ethetnet 0/1仅仅答应pc1(mac:0.0.1)接入。 2.      动态mac、端口捆绑:端口ethetnet 0/1仅仅答应一个主机(任何mac地址)接入。 3.      ip、端口捆绑:端口ethetnet 0/1仅仅答应ip地址为(ip:1.0.0.2)的主机接入 4.      ip、mac捆绑:vlan 1下的主机pc1(mac:0.0.1)必须使用ip地址(ip:1.0.0.2)才可以通过交换机。 5.      mac、ip、端口捆绑:端口ethetnet 0/1仅仅答应mac地址为(mac:0.0.1)而且ip地址为(ip:1.0.0.2)的主机接入。

2         数据配置步骤

『各种接入控制流程』 本例以3526E为例 【静态mac、端口捆绑】 这里必须严格rule规则的顺序,否则不生效。 1.      创建ACL [SwitchA]acl num 200 2.      定义规则禁止E0/1去往任意端口的数据包 [SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any 3.      定义规则答应0.0.1的MAC地址从E0/1发住任意端口 [SwitchA-acl-link-200]rule 1 permit ingress 0.0.1 interface e0/1 egress any 4.      下发访问控制列表 [SwitchA]packet-filter link-group 200   【动态mac、端口捆绑】 1.      定义端口最大MAC地址学习数为1 [SwitchA-Ethernet0/2]mac-address  max-mac-count  1   【ip、端口捆绑】 注:这是用QACL命令实现的,该功能在S3526系列交换机上可以使用用静态dhcp和am命令分别实现,具体情况请参考上面的内容。 1.      创建ACL [SwitchA]acl num 1 2.      定义规则禁止所有的IP报文 [SwitchA-acl-basic-1]rule 0 deny source any 3.      定义规则答应源地址1.0.0.2主机
 [SwitchA-acl-basic-1]rule 1 permit source 1.0.0.2 0 4.      创建ACL [SwitchA]acl num 200 5.      定义规则 [SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any [SwitchA-acl-link-200]rule 1 permit ingress interface e0/1 egress any 6.      下发访问控制列表,禁止E0/1的所有的IP报文 [SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 0 7.      下发访问控制列表,答应主机1.0.0.2报文通过E0/1 [SwitchA]packet-filter ip-group 1 rule 1 link-group 200 rule 1进入讨论组讨论。
【ip、mac捆绑】 1.      创建ACL [SwitchA]acl number 1 2.      定义规则答应特定IP [SwitchA-acl-basic-1]rule 0 permit source 1.0.0.2 0 [SwitchA]acl number 200 3.      定义规则禁止特定MAC [SwitchA-acl-link-200]rule 0 deny ingress 1 0000-0000-0001 0000-0000-0000 egress any 4.      定义规则答应特定MAC [SwitchA-acl-link-200]rule 1 permit ingress 1 0000-0000-0001 0000-0000-0000 egress any 5.      下发访问控制列表,禁止特定mac 0.0.1 [SwitchA]packet-filter link-group 200 rule 0 6.      下发访问控制列表,答应符合IP的特定mac [SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 1 【ip、mac和端口捆绑】 1.      创建ACL [SwitchA]acl number 1 2.      定义规则答应1.0.0.2主机 [SwitchA-acl-basic-1]rule 0 permit source 1.0.0.2 0 3.      创建ACL [SwitchA]acl number 200 4.      定义规则禁止E0/1发往任何端口的数据 [SwitchA-acl-link-200]rule 0 deny ingress interface Ethernet0/1 egress any 5.      定义规则答应0.0.1这台主机从E0/1去往任意端口 [SwitchA-acl-link-200]rule 1 permit ingress 1 0000-0000-0001 0000-0000-0000 egress any
6.      下发访问控制列表 [SwitchA]packet-filter link-group 200 rule 0 [SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 1  
    附件(本网站支持断点续传下载,建议使用FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助)
高级应用-QACL之绑定(图三) 交换机qacl之绑定.doc 进入讨论组讨论。