大型园区网络内网安全部署一般方法和配置案例(4)

大型园区网络内网安全部署一般方法和配置案例

2.2、接入层设备安全配置

接入层作为园区网络的边界，为各种终端接入网络，需要防止非法的终端和用户进入网络。

此外，接入层设备还承载二层流量转发的功能，需要对二层流量的转发行为进行控制。

下面就不同方面进行示例配置：

# 配置流量抑制功能示例

<HUAWEI> system-view
[HUAWEI] suppression mode by-bits                                      # 配置全局流量抑制模式
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] broadcast-suppression cir 1000           # 配置接口入方向的未知广播流量抑制
[HUAWEI-GigabitEthernet0/0/1] multicast-suppression cir 1000           # 配置接口入方向的未知组播流量抑制           
[HUAWEI-GigabitEthernet0/0/1] unicast-suppression cri 1000             # 配置接口入方向的未知单播流量抑制
[HUAWEI-GigabitEthernet0/0/1] broadcast-suppression block outbound     # 配置阻断接口出方向的广播流量
[HUAWEI-GigabitEthernet0/0/1] multicast-suppression block outbound     # 配置阻断接口出方向的组播流量
[HUAWEI-GigabitEthernet0/0/1] unicast-suppression block outbound       # 配置阻断接口出方向的单播流量

# 配置风暴控制功能示例

<HUAWEI> system-view
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] storm-control broadcast min-rate 1000 max-rate 2000    # 配置广播风暴控制
[HUAWEI-GigabitEthernet0/0/1] storm-control multicast min-rate 1000 max-rate 2000    # 配置未知组播风暴控制
[HUAWEI-GigabitEthernet0/0/1] storm-control unicast min-rate 1000 max-rate 2000      # 配置未知单播风暴控制
[HUAWEI-GigabitEthernet0/0/1] storm-control action block                             # 配置风暴控制的动作
[HUAWEI-GigabitEthernet0/0/1] storm-control enable log                               # 使能风暴控制时记录日志的功能
[HUAWEI-GigabitEthernet0/0/1] storm-control interval 90                              # 配置风暴控制的检测时间间隔

# 配置DHCP Snooping功能示例

<HUAWEI> system-view
[HUAWEI] dhcp enable                                  # 使能DHCP功能
[HUAWEI] dhcp snooping enable                         # 使能全局DHCP Snooping功能   
[HUAWEI] interface gigabitethernet 0/0/1              # 进入用户侧接口
[HUAWEI-GigabitEthernet0/0/1] dhcp snooping enable    # 使能DHCP Snooping功能
[HUAWEI-GigabitEthernet0/0/1] quit                    
[HUAWEI] interface gigabitethernet 0/0/2              # 进入直接或间接连接DHCP服务器的接口
[HUAWEI-GigabitEthernet0/0/2] dhcp snooping trusted   # 配置该接口为信任接口

# 配置IPSG功能示例

• 配置基于静态绑定表的IPSG功能示例

<HUAWEI> system-view
[HUAWEI] user-bind static ip-address 10.0.0.1 mac-address 00e0-fc01-0001     # 创建静态绑定表项
[HUAWEI] user-bind static ip-address 10.0.0.11 mac-address 00e0-fc02-0002    # 创建静态绑定表项
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] ip source check user-bind enable               # 使能IP报文检查功能
[HUAWEI-GigabitEthernet0/0/1] ip source check user-bind alarm enable         # 使能IP报文检查告警功能
[HUAWEI-GigabitEthernet0/0/1] ip source check user-bind alarm threshold 100  # 配置IP报文检查告警阈值