在企业网络中防止用户私自配置IP地址或仿冒他人IP进行网络访问是安全运维的重要一环。通过部署DHCP Snooping与IPSGIP Source Guard的三层联动可以有效构建起一道坚实的安全防线。本文将基于华为设备详细演示如何配置DHCP Server、DHCP Snooping以及IPSG实现从IP地址分配到流量校验的全流程安全防护。一、配置思路在深入命令行之前我们需要理清整体的安全部署逻辑1. 部署DHCP Server作为合法的IP地址分配源确保网络中IP地址的统一管理。2. 启用DHCP Snooping在接入层设备上监听DHCP交互过程自动生成“IPMACVLAN接口”的动态绑定表并区分信任端口连接服务器与非信任端口连接用户。3. 启用IPSG基于DHCP Snooping生成的绑定表在用户接入的VLAN或接口上开启IP源防护。只有源IP、MAC与绑定表匹配的流量才会被放行从而彻底杜绝静态配置IP或IP欺骗攻击。二、详细配置步骤1. 首先我们在核心或汇聚层设备Router_2上配置DHCP服务为终端提供IP地址。Huawei system-view [Huawei] sysname Router_2 [Router_2] vlan batch 10 [Router_2] interface ethernet 0/0/1 [Router_2-Ethernet0/0/1] port link-type trunk [Router_2-Ethernet0/0/1] port trunk allow-pass vlan 10 [Router_2-Ethernet0/0/1] quit # 开启全局DHCP功能 [Router_2] dhcp enable # 配置全局IP地址池 [Router_2] ip pool 10 [Router_2-ip-pool-10] network 10.1.1.0 mask 24 [Router_2-ip-pool-10] gateway-list 10.1.1.1 [Router_2-ip-pool-10] quit # 在VLANIF接口应用全局地址池 [Router_2] interface vlanif 10 [Router_2-Vlanif10] ip address 10.1.1.1 255.255.255.0 [Router_2-Vlanif10] dhcp select global [Router_2-Vlanif10] quit2.配置Router_1接入层基础网络接下来配置接入层交换机Router_1的VLAN和接口属性打通二层链路。Huawei system-view [Huawei] sysname Router_1 [Router_1] vlan batch 10 # 配置连接用户的接口 [Router_1] interface ethernet 0/0/1 [Router_1-Ethernet0/0/1] port link-type access [Router_1-Ethernet0/0/1] port default vlan 10 [Router_1-Ethernet0/0/1] quit [Router_1] interface ethernet 0/0/2 [Router_1-Ethernet0/0/2] port link-type access [Router_1-Ethernet0/0/2] port default vlan 10 [Router_1-Ethernet0/0/2] quit # 配置上行连接DHCP Server的接口 [Router_1] interface ethernet 0/0/3 [Router_1-Ethernet0/0/3] port link-type trunk [Router_1-Ethernet0/0/3] port trunk allow-pass vlan 10 [Router_1-Ethernet0/0/3] quit3.启用DHCP Snooping并配置信任端口这是安全体系的核心。必须在Router_1上开启DHCP Snooping并将连接合法DHCP服务器的上行接口E0/0/3标记为“信任”否则DHCP Offer报文会被丢弃导致用户无法获取IP。[Router_1] dhcp enable [Router_1] dhcp snooping enable # 在VLAN 10内启用Snooping [Router_1] vlan 10 [Router_1-vlan10] dhcp snooping enable # 关键步骤配置信任端口 [Router_1-vlan10] dhcp snooping trusted interface ethernet 0/0/3 [Router_1-vlan10] quit4.启用IPSG进行流量校验最后在VLAN 10上启用IPSG功能。此时设备会检查所有经过的IP报文只有源信息匹配DHCP Snooping动态绑定表的流量才会被允许通过。[Router_1-vlan10] ip source check user-bind enable [Router_1-vlan10] quit5. 验证与排错配置完成后可以通过以下命令验证绑定表是否生成以及IPSG是否生效。1查看动态绑定表当终端获取IP后执行以下命令应能看到对应的IP、MAC、VLAN和接口信息。[Router_1] display dhcp snooping user-bind all2检查IPSG状态确认VLAN下的IP源检查功能已开启。[Router_1] display ip source check user-bind all