IP Source Guard 地址欺骗防护
IP Source Guard 依据绑定表校验报文的源 IP 与源 MAC，防止用户私自改地址或冒用他人 IP 上网。它的判决依据来自 DHCP Snooping 的动态绑定表或手工配置的静态绑定条目，因此绑定表为空时校验会把所有流量拒掉，这个特性让它的部署顺序比配置本身更重要。
基本信息
| 适用平台 | 华为 VRP、H3C Comware、思科 IOS 交换机 |
|---|---|
| 依赖 | DHCP Snooping 动态绑定表或静态绑定条目 |
| 华为命令 | 接口下 ip source check user-bind enable |
| 思科命令 | 接口下 ip verify source |
| H3C 命令 | 接口下 ip verify source ip-address mac-address |
| 校验粒度 | 思科默认只校验 IP，华为与 H3C 可同时校验 IP 与 MAC |
校验粒度对照
| 平台 | 默认校验 | 校验 IP 与 MAC | 查看命令 |
|---|---|---|---|
| 华为 VRP | 按绑定表校验源 IP 与 MAC | 命令本身即同时校验 | display ip source check user-bind interface |
| 思科 IOS | 仅源 IP | 需配合端口安全才能校验 MAC | show ip verify source interface |
| H3C Comware | 按配置项决定 | ip verify source ip-address mac-address | display ip verify source interface |
| 共同前提 | 绑定表必须先有对应条目 | 同左 | display dhcp snooping binding |
典型使用场景
- 防止用户私改地址导致地址冲突与审计失效
- 防止冒用他人 IP 逃避上网行为记录
- 与 DHCP Snooping、ARP 检测组成接入层三位一体的防护
- 整改要求终端地址必须由 DHCP 统一分配时强制校验
- 定位地址归属：结合绑定表确认某地址应属于哪个端口
- 在实验室环境中制造地址欺骗，验证防护是否按预期丢包
华为 VRP
华为 VRP
dhcp snooping enable # 先让绑定表产生
dhcp snooping enable vlan 10
interface GigabitEthernet0/0/1
dhcp snooping enable
ip source check user-bind enable # 校验源 IP 与 MAC
display ip source check user-bind interface GigabitEthernet0/0/1思科 IOS 与 H3C Comware
思科 IOS 与 H3C Comware
ip dhcp snooping # 思科
ip dhcp snooping vlan 10
interface GigabitEthernet0/1
ip verify source
show ip verify source interface GigabitEthernet0/1
interface GigabitEthernet1/0/1 # H3C
ip verify source ip-address mac-address
display ip verify source interface GigabitEthernet1/0/1思科的 ip verify source 默认只校验源 IP，要同时校验 MAC 需要叠加端口安全或粘滞 MAC 配置；华为与 H3C 一条命令即可覆盖 IP 与 MAC，部署时不必再拼两套机制。
不要在绑定表为空时就打开校验：DHCP Snooping 未生效或表项尚未学习完成时，合法终端也会被全部拒绝，表现为「整网获取不到地址」。先在维护窗口内确认表项已建立，再逐 VLAN 启用，并在启用后立即抽查终端的连通性。