【正文】 監(jiān)控的 IP信息show systemguard detectip [ interface interface ] Switch167。默認(rèn)情況下，被隔離默認(rèn)情況下，被隔離 IP只有到隔離時(shí)間到期后才會(huì)解除隔離狀態(tài)只有到隔離時(shí)間到期后才會(huì)解除隔離狀態(tài)查看系統(tǒng)保護(hù)狀態(tài)示例端口安全167。 限制交換機(jī)端口接入設(shè)備的數(shù)量167。 如果源 MAC地址在安全地址表不存在，則直接轉(zhuǎn)發(fā)幀端口安全的限制167。 啟用端口安全switchport portsecurity Switch(configif)167。 配置安全地址老化時(shí)間switchport portsecurity aging { time time | static } Switch(configif)167。protect表示丟棄接收到的幀（表示丟棄接收到的幀（ MAC地址不在安全地址表中）地址不在安全地址表中） 216。 配置狀態(tài)自動(dòng)恢復(fù)等待時(shí)間errdisable recovery interval time Switch(config)216。 防止 ARP欺騙216。 啟用端口安全switchport portsecurity Switch(configif)216。 查看 ARP檢查狀態(tài)show portsecurity arpcheck Switch167。 DHCP Snooping的工作機(jī)制216。 只允許 DHCP Discovery、 DHCP Request報(bào)文通過，過濾 DHCP Offer報(bào)文216。 用于連接合法的DHCP服務(wù)器和上行鏈路端口216。 配置端口為信任端口ip dhcp snooping trust Switch(configif)216。 將 DHCP Snooping數(shù)據(jù)庫寫入到 Flash文件ip dhcp snooping database writetoflash Switch(config)216。 配置驗(yàn)證 Untrust端口檢查 DHCP報(bào)文的源 MAC地址ip dhcp snooping verify macaddress Switch(config)216。 查看 DHCP Snooping數(shù)據(jù)庫信息show ip dhcp snooping binding Switch216。靜態(tài)的綁定表項(xiàng)不會(huì)被刪除靜態(tài)的綁定表項(xiàng)不會(huì)被刪除查看 DHCP Snooping狀態(tài)示例DAI（動(dòng)態(tài) ARP檢測(cè)）167。 不適用于動(dòng)態(tài) IP地址環(huán)境230。 DAI Trust端口230。 Trust端口230。 端口狀態(tài)需要與 DHCP Snooping端口狀態(tài)一致230。 啟用 DAIip arp inspection Switch(config)216。只有對(duì)只有對(duì) VLAN啟用了啟用了 DAI，才會(huì)檢查此，才會(huì)檢查此 VLAN收到的收到的 ARP報(bào)文報(bào)文216。默認(rèn)情況下，默認(rèn)情況下， Untrust端口的端口的 ARP速率閾值為速率閾值為 15pps216。 查看接口的 DAI信息查看 DAI狀態(tài)示例課程回顧167。 使用 Switch增強(qiáng)網(wǎng)絡(luò)安全性演講完畢，謝謝觀看！。 安全管理 Router與 Switch167。對(duì)于對(duì)于 Trunk端口，可以提高速率閾值或者取消限速端口，可以提高速率閾值或者取消限速DAI配置示例查看 DAI狀態(tài)167。 配置 Untrust端口的 ARP限速ip arp inspection limitrate pps Switch(configif)ip arp inspection limitrate none Switch(configif)167。 在 VLAN中啟用 DAIip arp inspection vlan vlanrange Switch(config)ip arp inspection trust Switch(configif)167。 建議在 DHCP環(huán)境中部署 DAI配置 DAI167。 Untrust端口230。 DAI Untrust端口230。 DAI依賴于 DHCP Snooping數(shù)據(jù)庫230。 與 ARP檢查一樣，用于防止 ARP欺騙216。只有只有 Untrust端口才會(huì)存在綁定表項(xiàng)端口才會(huì)存在綁定表項(xiàng) 167?？梢员苊夤粽甙l(fā)送偽造源可以避免攻擊者發(fā)送偽造源 MAC地址的地址的 DHCP報(bào)文，導(dǎo)致報(bào)文，導(dǎo)致 DHCP DoS攻擊攻擊 DHCP Snooping配置示例查看 DHCP Snooping狀態(tài)167。DHCP監(jiān)聽數(shù)據(jù)庫的信息是動(dòng)態(tài)的，通過寫入監(jiān)聽數(shù)據(jù)庫的信息是動(dòng)態(tài)的，通過寫入 Flash，可以避免由于系統(tǒng)，可以避免由于系統(tǒng)的重新啟動(dòng)導(dǎo)致數(shù)據(jù)庫中的信息丟失的重新啟動(dòng)導(dǎo)致數(shù)據(jù)庫中的信息丟失 配置 DHCP Snooping（續(xù)）167。默認(rèn)情況下，所有端口都為默認(rèn)情況下，所有端口都為 Untrust端口端口 配置 DHCP Snooping（續(xù)）167。 用于連接 DHCP客戶端和其它接入端口配置 DHCP Snooping167。 包含客戶端的 IP地址、 MAC地址、連接的端口、 VLAN號(hào)、地址租用期限等信息 DHCP Snooping的部署216。 允許所有 DHCP報(bào)文通過216。 DHCP Snooping的作用216。 配置安全 IP地址switchport portsecurity macaddress macaddress ipaddress ipaddressSwitch(configif)216。 檢查 ARP報(bào)文中的 IP地址是否合法，若不合法，則丟棄報(bào)文配置 ARP檢查167。 查看端口安全狀態(tài)show portsecurity Switch查看端口安全狀態(tài)示例ARP檢查167。shutdown表示丟棄接收到的幀（表示丟棄接收到的幀（ MAC地址不在安全地址表中），發(fā)送一個(gè)地址不在安全地址表中），發(fā)送一個(gè)SNMP Trap報(bào)文報(bào)文 ,并且關(guān)閉端口，進(jìn)入并且關(guān)閉端口，進(jìn)入 “errdisabled”狀態(tài)狀態(tài) 配置端口安全（續(xù)）167。默認(rèn)情況下，默認(rèn)情況下， 自動(dòng)學(xué)習(xí)到的和手工配置的安全地址都不會(huì)老化自動(dòng)學(xué)習(xí)到的和手工配置的安全地址都不會(huì)老化216。 配置靜態(tài)安全 MAC地址switchport portsecurity macaddress macaddress Switch(configif)216。 安全端口必須是 Access端口216。 安全端口將檢查接收幀的源 MAC地址與端口的安全地址數(shù)216。 端口安全的作用216。 查看被排除隔離的 IP信息show systemguard exceptionip Switch167。 配置排除隔離地址systemguard exceptionip work/masklengthSwitch(config)系統(tǒng)保護(hù)配置示例查看系統(tǒng)保護(hù)狀態(tài)167。 配置隔離時(shí)間systemguard isolatetime seconds Switch(configif)216。 配置 IP掃描檢測(cè)systemguard scandestipattackpackets ppsSwitch(configif)216。 保護(hù)交換機(jī)系統(tǒng)資源167。 對(duì)網(wǎng)絡(luò)中不存在的 IP發(fā)送大量報(bào)文230。 查看風(fēng)暴控制示例系統(tǒng)保護(hù)167。multicast表示限制未知目的表示限制未知目的 MAC地址的組播幀地址的組播幀216。 查看保護(hù)端口示例