IPSG配置问题

型号是S6850

接入：开 DHCP Snooping+IPSG+DAI，上联口 trust、接电脑口 untrust；
核心：只把对接接入的端口设为 trust，不开启 IPSG；
静态终端手动添加 IPSG 静态绑定即可。

针对你的需求，IPSG（IP Source Guard）和ARP绑定功能应分别部署在接入交换机和核心交换机上，各有侧重。

核心原则是：IPSG部署在接入层，用于拦截非法IP报文；静态ARP绑定部署在核心层，用于固化网关的ARP表项。

下面是详细的配置步骤和命令。

📝 接入交换机配置（IPSG + ARP Detection）

接入交换机直接连接终端，是实施IPSG的最佳位置。根据终端获取IP地址的方式（DHCP动态获取或静态配置），配置方式略有不同。

场景一：终端通过DHCP动态获取IP地址（推荐）

这种方式最为高效，IPSG可以自动学习DHCP Snooping表项来生成绑定关系。

1. 全局开启DHCP Snooping：

   bash

   [H3C] dhcp snooping enable

2. 将上联核心交换机的接口配置为DHCP信任口（需替换为实际接口）：

   bash

   [H3C] interface Ten-GigabitEthernet 1/0/1 [H3C-Ten-GigabitEthernet1/0/1] dhcp snooping trust [H3C-Ten-GigabitEthernet1/0/1] quit

3. 在连接终端的接口上启用IPSG（需替换为实际接口）：

   bash

   [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] ip verify source ip-address mac-address [H3C-GigabitEthernet1/0/2] quit

   该命令会使接口根据DHCP Snooping动态生成的绑定表来校验报文，只允许合法获取IP的终端通信。

场景二：终端使用静态IP地址

如果终端都是固定IP，则需要手动配置静态绑定表项。

1. 在连接终端的接口上启用IPSG（同上）：

   bash

   [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] ip verify source ip-address mac-address [H3C-GigabitEthernet1/0/2] quit

2. 配置静态IP源绑定（需替换为实际终端的IP、MAC和VLAN）：

   bash

   [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] ip source binding ip-address 192.168.1.10 mac-address 0001-0001-0001 vlan 10 [H3C-GigabitEthernet1/0/2] quit

（可选）接入层ARP Detection

如果想在接入层就拦截非法ARP报文，可以开启ARP Detection功能。

1. 在终端所在VLAN下启用ARP Detection：

   bash

   [H3C] vlan 10 [H3C-vlan10] arp detection enable [H3C-vlan10] quit

2. 将上联核心交换机的接口配置为ARP信任口：

   bash

   [H3C] interface Ten-GigabitEthernet 1/0/1 [H3C-Ten-GigabitEthernet1/0/1] arp detection trust [H3C-Ten-GigabitEthernet1/0/1] quit

🖥️ 核心交换机配置（静态ARP绑定）

在核心交换机上配置静态ARP绑定，可以防止终端仿冒网关IP，并固化合法终端的ARP表项。

• 配置静态ARP（需替换为实际终端的IP、MAC、VLAN和接口）：

  bash

  [H3C] arp static 192.168.1.10 0001-0001-0001 vlan 10 interface Ten-GigabitEthernet 1/0/2

  注意：interface参数指定了该终端在核心交换机上对应的接口（即连接该接入交换机的接口）。

⚠️ 重要提示

• IPSG的局限性：IPSG主要过滤IP报文，对ARP报文的拦截能力有限。因此，即使配置了IPSG，核心交换机仍可能收到非法ARP报文并记录IP冲突日志。这也是为什么需要在接入层额外配置ARP Detection或在核心层配置静态ARP绑定的原因。