（安全）静态绑定表 IPSG

一、静态IPSG介绍

静态IPSG（Static IP Source Guard）是IPSG的一种实现方式，主要用于那些没有使用动态主机配置协议（DHCP）分配IP地址的网络环境，而是手动分配固定IP地址的情况。静态IPSG允许管理员手动配置IP-MAC绑定关系，以确保只有拥有正确IP地址和MAC地址组合的设备才能在网络中发送数据包。

一、配置步骤

1.定义IP-MAC绑定条目：在交换机或路由器上为每个需要保护的设备手动输入IP地址和MAC地址的对应关系。这一步骤类似于创建一个静态的ARP表。

2. 启用IPSG：在相关的接口上启用IPSG功能。这通常涉及到指定哪些接口应该应用IP-MAC绑定规则。

3.验证配置：配置完成后，应测试确保只有具有正确IP-MAC绑定的设备可以正常通信，而其他尝试使用错误IP地址的设备将被阻拦。

二、优点

安全性增强：静态IPSG可以有效防止IP地址欺骗攻击，因为它只允许已知且经过验证的设备通信。
适用性广：适用于所有类型的网络环境，尤其是那些需要高度控制和安全性的环境。

三、缺点

管理复杂度增加：每当网络中的设备变更或新增时，都需要手动更新IP-MAC绑定表，这可能会增加网络管理和维护的工作量。
灵活性降低：相比自动化的DHCP Snooping机制，静态配置缺乏动态调整的能力，可能不适合频繁变动的网络环境。

四、应用场景

静态IPSG特别适合于以下场景：

数据中心：数据中心内的服务器通常有固定的IP地址，因此使用静态IPSG可以提供额外的安全层。
关键业务网络：对于需要高安全性的网络，例如银行或政府机构的内部网络，静态IPSG可以作为一种有效的安全措施。

总之，静态IPSG是一个强大的工具，可以帮助网络管理员更好地控制谁可以在网络上发送数据，特别是在需要严格安全措施的环境中。然而，它也要求较高的管理和维护投入，因此在决定是否采用之前，应当权衡其利弊。

二、案例实践小实验

一、需求概述：

目前用户的 PC1和PC2通过DeviceA接入网络， PC1和PC2均使用静态配置的IP地址。网络管理员希望用户使用固定IP地址上网，不允许私自更改IP地址非法获取网络访问权限。

组网拓扑：

二、操作步骤：

1、在DeviceA上创建静态绑定表项。

# 在DeviceA上创建静态绑定表项。

<HUAWEI> system-view[HUAWEI] sysname DeviceA[DeviceA] user-bind static ip-address 10.0.0.1 mac-address 00e0-fc12-3456[DeviceA] user-bind static ip-address 10.0.0.11 mac-address 00e0-fc12-3478

2、开启IPSG功能。

# 在DeviceA的10GE1/0/1 、10GE1/0/2接口使能IPSG。

[DeviceA] interface 10GE 1/0/1[DeviceA-10GE1/0/1] ipv4 source check user-bind enable[DeviceA-10GE1/0/1] quit[DeviceA] interface 10GE 1/0/2[DeviceA-10GE1/0/2] ipv4 source check user-bind enable[DeviceA-10GE1/0/2] quit

三、配置结果：

[DeviceA] display ip source check user-bind statusUser-bind table on slot 1:----------------------------------------------------------------------------------------------------------IP Address        Preix           Vlan(O/I)         Interface   BindingMAC Address       Type             Status-----------------------------------------------------------------------------------------------------------10.0.0.1            -               -   /-            -           DHCP00e0-fc12-3456    Static             IPv4/-10.0.0.11            -                 -   /-             -            DHCP00e0-fc12-3478    Static            IPv4/------------------------------------------------------------------------------------------------------------Total count:           2