Doel

IP Source Guard is een veiligheidsfunctie die kan worden gebruikt om verkeersaanvallen te voorkomen die worden veroorzaakt wanneer een host het IP-adres van een aangrenzende host probeert te gebruiken. Wanneer IP Source Guard is ingeschakeld, geeft de switch alleen het client-IP-verkeer naar IP-adressen door in de DHCP Snooping Binding-database. Als het pakket dat een host ontvangt, overeenkomt met een ingang in de database, geeft de switch het pakket door. Als het pakje niet overeenkomt met een ingang in het gegevensbestand, wordt het ingetrokken.

In een real-time scenario, is één manier waarin IP Bron Guard wordt gebruikt om te helpen om man-in-het-midden aanvallen te voorkomen waar een onvertrouwde derde probeert om als echte gebruiker te maskeren. Gebaseerd op de adressen die in de IP bron Guard bindende databank worden gevormd, is alleen het verkeer van de cliënt met dat IP adres toegestaan en de rest van de pakketten worden ingetrokken.

Opmerking: DHCP-decodering dient ingeschakeld te worden zodat IP-bronbewaking kan functioneren. Raadpleeg het artikel DHCP Snooping Binding Database Configuration op SX500 Series Stackable Switches voor meer informatie over het inschakelen van DHCP Snooping SX500 Series. Het is ook nodig om de bindende databank aan te passen om aan te geven welke IP-adressen zijn toegestaan.

Dit artikel legt uit hoe te om binden gegevensbestand voor IP bronGuard op Sx500 Series Stackable Switches te configureren.

Toepasselijke apparaten

・ SX500 Series Stackable-switches

Softwareversie

・ v1.2.7.76

Configuratie van IP Source Guard Binding Database

Bindende database

Stap 1. Meld u aan bij het web configuratieprogramma en kies Security > IP Source Guard > Binding Database. De pagina Binding Database wordt geopend:

Stap 2. Klik op de gewenste ingang van de volgende opties in het veld Inactieve invoegen om te kiezen hoe vaak de inactieve items actief moeten worden gemaakt door de schakelaar. DHCP Snooping Binding Database gebruikt Ternary Content Adresseerbare Geheugen (TCAM) om de database te onderhouden.

・ Retry Frequency — Geeft de frequentie die de TCAM-bronnen zijn gecontroleerd. De standaardwaarde is 60.

・ Nooit — Probeer nooit de inactieve adressen te activeren.

Stap 3. Klik op Toepassen om het actieve configuratiebestand bij te werken.

Bindende bestandsindeling toevoegen

Stap 1. Meld u aan bij het programma voor webconfiguratie en kies IP-configuratie > DHCP > DHCP-optie Binding Database die DHCP Snooping Binding Database pagina opent.

Stap 2. Klik op Add om de items in de pagina met DHCP-optie toevoegen in te voeren.

Stap 3. Kies de VLAN-id in de vervolgkeuzelijst waarop het pakket in het veld VLAN-id wordt verwacht.

Stap 4. Voer het MAC-adres in dat moet worden aangepast in het veld MAC-adres.

Stap 5. Voer het IP-adres in dat moet worden aangepast in het veld IP-adres.

Stap 6. Kies de interface in de vervolgkeuzelijst Interfacebook om te tonen of u poorten of LAG's wilt weergeven waarop het pakket verwacht wordt.

Stap 7. Klik op het type om te tonen of de ingang dynamisch of statisch is in het veld Type.

・ Dynamisch — Ingang heeft een beperkte leasetijd.

・ Statisch — Ingang is statistisch ingesteld.

Stap 8. Voer de leasetijd in het veld Lease-tijd in. Als de entry dynamisch is, voer dan de tijdsduur in die de entry actief blijft. Als er geen huurtijd is, klikt u op Infinite.

De reden als de interface niet actief is wordt weergegeven in het veld Reden. De redenen kunnen als volgt zijn:

・ Geen probleem — interface is actief.

・ Geen Snoop VLAN — DHCP-optie is niet ingeschakeld op het VLAN.

・ Trusted Port-poort is vertrouwd.

・ Hulpprobleem — TCAM-middelen worden gebruikt.

Stap 9. Om een subset van de items te zien, voert u de juiste zoekcriteria in in de tabel met bindende gegevensbestanden en klikt u op Ga. De dialoogvensters van het filter worden gebruikt om een bepaald item uit de tabel met de DHCP-binding te filteren.

Stap 10. (Optioneel) Om de ingevoerde waarden te verwijderen en nieuwe waarden in te voeren, klikt u op Dynamisch wissen.

Stap 1. Klik op Toepassen om het actieve configuratiebestand bij te werken.