对付这样的人，有三个方法：
1、 在域控上下发组策略，禁止用户修改IP地址；
2、 在交换机上配置IPSG，他倒是能改IP地址，但是改了之后，不但上不了外网，就连内网都不通了，那他就只能自己改回来了，免去你排查之苦，就算他不改回来，对网络也不会产生任何影响。
3、行政手段，一经发现私自修改IP地址，直接罚款，从工资里面扣那种。
行政罚款也到不了IT外包的手里，咱们还是用点技术手段吧，那就IPSG走起。
一、 原理简述：
IPSG是IP Source Guard的简称。IPSG可以防范针对源IP地址进行欺骗的攻击行为。
随着网络规模越来越大，基于源IP的攻击也逐渐增多。所谓的攻击，不一定是恶意的，他也许只是想获得上网权限而擅自修改IP地址，但是这样的行为，已经对网络造成了攻击，甚至有些人，把自己的IP地址直接改成了网关IP，把整个网络都搞崩溃了；
二、网络架构及配置方法
1、 废话不多说，先上拓扑图；
2、 配置要求：
如上图所示，内网有台服务器，需要配置静态IP，并且在接入交换机内静态绑定；PC1和PC2配置为自动获取IP地址，并且需要防止用户修改IP地址接入网络；核心交换机与接入交换机之间的接口配置为trunk模式，并且放行所有VLAN；
3、 配置过程：
（1） 核心交换机的配置：
sys
Enter system view, return user view with Ctrl+Z
[Huawei]sys core //命名交换机
[core]vlan 10 //创建vlan10
[core-vlan10]
[core-vlan10]q
[core]dhcp en //开启dhcp
[core]ip pool vlan10 //定义vlan10的地址池
[core-ip-pool-vlan10]net 192168100 mask 24 //在地址池中声明网络
[core-ip-pool-vlan10]gateway-list 192168101 //在地址池中声明网关
[core-ip-pool-vlan10]dns-list 1921681011 //在地址池中声明DNS服务器
[core-ip-pool-vlan10]excluded-ip-address 192168102 1921681020 //在地址池中声保留不分配出去的IP地址
[core-ip-pool-vlan10]int vlan 10
[core-Vlanif10]ip add 192168101 24 //配置vlan的IP地址
[core-Vlanif10]dhcp sele glo //选择全局的地址池给DHCP客户端使用
[core-Vlanif10]int g0/0/1
[core-GigabitEthernet0/0/1]p l t //1口配置为trunk模式
[core-GigabitEthernet0/0/1]p t a v a //允许所有vlan通过
（2） 接入交换机的配置：
sys
[Huawei]sys SW1
[SW1]vlan 10
[SW1-vlan10]int g0/0/4
[SW1-GigabitEthernet0/0/4]p l t
[SW1-GigabitEthernet0/0/4]p t a v a
[SW1-GigabitEthernet0/0/4]q
[SW1]p g g0/0/1 to g0/0/3 //创建端口组，组成员为1-3口
[SW1-port-group]p l a //1-3口配置为access模式
[SW1-port-group]p d v 10 //1-3口access vlan10
[SW1-port-group]q
[SW1]dhcp en
[SW1]dhcp snooping en //启用全局DHCP Snooping功能
[SW1]vlan 10
[SW1-vlan10]dhcp sn
[SW1-vlan10]dhcp snooping en //启用VLAN 10下的DHCP Snooping功能
[SW1-vlan10]dhcp snooping trusted int g0/0/4 //配置4口为DHCP信任口
[SW1-vlan10]q
[SW1]user-bind static ip-address 1921681011 mac-address 5489-98F9-77D6 interface g0/0/3 vlan 10 //创建服务器的静态绑定表项
[SW1]vlan 10
[SW1-vlan10]ip source check user-bind en //启用IPSG功能
[SW1-vlan10]q
配置完成，来查看DHCP绑定是否正确：dis dhcp snooping user-bind all
再查看静态绑定是否正确：dis dhcp static user-bind all
经过以上配置，PC1和PC2使用DHCP服务器动态分配的IP地址可以正常访问网络，如果将IP地址更改为其他的静态IP地址，则无法访问网络。
同理，服务器修改为其他IP地址后，也是无法正常通讯的。
这样一来，网络就会清静很多，从此“无丝竹之乱耳，无案牍之劳形”，何不快哉。我吧我做过的配置直接发给你吧，但是，朋友你的给点分。
交换机配置DHCP
dhcp
server
ip-pool
1
：配置DHCP组1
network
1721510
mask
2552552550
：配置地址池
gateway-list
172151254
：配置网关
dns-list
20210344150
2021032468
：配置DNS
expired
day
10
：配置DHCP过期时间（10天）
配置DHCP中继
#
dhcp-server
1
ip
19216831
interface
Vlan-interface10
ip
address
1721610254
2552552550
dhcp-server
1IPSG（IP和MAC绑定）配置
功能介绍：
IPSG可以防止恶意主机伪造合法主机的IP地址仿冒合法主机来访问网络或攻击网络
它是利用交换机上的绑定表过滤非法主机发送的报文，以阻止非法主机访问网络或者攻击网络
绑定表分为 静态绑定表和DHCP Snooping动态绑定表
静态绑定表：通过user-bind命令手工配置。该方法使用于局域网络中主机数较少，且主机使用静态配置Ip地址的网络环境
DHCP Snooping动态绑定表：配置DHCP Snooping功能后，DHCP主机动态获取IP地址时，设备根据DHCP服务器发送的DHCP回复报文动态生成。该方式适用于局域网络中主机较多，且主机使用DHCP动态获取Ip地址的网络环境
下面来看静态配置示例：
需求：
1、某公司员工通过交换机连接网络，研发人员ip地址为10001，人力资源员工ip地址为100011，设备上配置ACL，只允许人力资源员工100011可以访问internet
2、在人力资源员工出差关机的情况下，研发员工也不能通过私自将ip地址更改为100011访问internet
配置思路 ：
1、在switch上创建研发员工和人力资源员工的绑定表
2、在Switch的GE0/0/1和GE0/0/2接口下使能IPSG检查功能
*** 作步骤：
system-view //进入系统视图
user-bind static ip-address 10001 mac 0000-0000-0001 //创建研发人员绑定表项
user-bind static ip-address 100011 mac 0000-0000-0002 //创建人力资源员工的绑定表项
interface g0/0/1 //进入GE0/0/1接口视图
ip source check user-bind enable //使能GE0/0/1接口的IPSG检查功能
interface g0/0/2 //进入GE0/0/2接口视图
ip source check user-bind enable //使能GE0/0/2接口的IPSG检查功能
动态配置示例：
需求：
公司某部门员工IP地址均通过DHCP方式获取，通过部署IPSG实现员工只能使用DHCP Server分配的IP地址，不允许私自配置静态IP地址，如果私自制定IP地址将无法访问网络
配置思路
1、在switch上配置DHCP Snooping功能，生成DHCP snooping 动态绑定表
2、在switch连接员工主机的vlan10上使能IPSG功能
跳过dhcp配置，假设pc 通过DHCP方式动态获取到IP地址
system-view //进入系统视图
dhcp enable //全局使能DHCP功能
dhcp snooping //全局使能DHCP Snooping 功能
vlan10 // 进入vlan10视图
dhcp Snooping enable //在vlan视图下使能DHCP Snooping功能
dhcp Snooping trusted interface g0/0/3 //将连接DHCP server的g0/0/3接口配置为信任接口
ip source check user-bind enable //基于vlan使能IPSG检查功能华为考试券，华为题库，oracle考试券，oracle题库，rhce题库，rhce报名 qq_909577120
1IP报文中用Tos字段进行Qos的标记，Tos字段中是使用前6bit来标记DSCP的。
A 正确 B 错误
Correct Answer: A
2传统的丢包策略采用尾部丢弃〔Tail-Drop)的方法，这种丢弃方法会导致TCP全局同步现象。
A 正确 B 错误
Correct Answer: A
3下列选项中，属于Agile controller的业务编排的亮点的是:〔多选)
A 基千三层GRE隧道进行编排，业务设备的组网方式、部署位置更加灵活。
B 通过拓扑可视化方式进行业务编排，配置简单，管理便捷。
C 业务设备的增删，不改变现网转发路由，不改变现网物理拓扑。
D 无需人工维护，自动对业务进行分析编排。
Correct Answer: ABC
4下列应用场景中，不属千Agile controller的访客接入管理的场景的是:
A 客户沟通、交流、参观等接入企业网络，访问企业公共资源或Internet。
B 普通民众通过公共事业单位提供的网络访问Internet。
C 客户在企业消费，连接企业网络访问Internet。
D 公司员工出差到分公司，连接分公司网络访问公司网络
Correct Answer: D
5NFV中的VIM管理模块的主要功能包括资源发现、资源分配、资源管理以及____
A 资源调度 B 资源监控 C 资源回收 D 故障处理
Correct Answer: D
6SDN主要技术流派主张SDN采用分层的开放架构，那么倡导、定义集中式架构和Openflow的是
A ONF B IEIF C ETSI D ITUa
Correct Answer: A
7为避免TCP全局同步现象，可使用的拥塞避免机制有:(多选〕
A RED B WRED C Tail-Drop D WFQ
Correct Answer: AB
8下面哪项为配置SDN 控制器侦听地址的命令，
A Openflow Listening-ip 1111
B Sdn controller souce-address 1111
C controller-ip 1111
D Sdn Listening-ip 1111
Correct Answer: A
9DHCP服务器分配给客户端的动态IP地址，通常都有一定的租借期限，那么关千租借期限的描述，错误的是:
A 租期更新定时器为总租期的50%，当“租期更新定时器”到期时，DHCP客户端必须进行IP地址的更新。
B 重绑定定时器为总租期的875%。
C 若“重绑定定时器”到期，但客户端还;受有收到服务器的响应，则会一直发送DHCP REQUEST报文给之前分配过iP地址的DHCP服务器，直
到总租期到期。
D 在租借期限内，如昊客户端收到DHCP NAK报文，客户端就会立即停止使用此IP地址，并返回到初始化状态，重新申请新的IP地址。
Correct Answer: C
10NFV常常部署在下列哪些应用环境中，〔多选〕
A 数据中心 B 网络节点 C 用户接入侧 D 客户机/服务器
Correct Answer: ABC
11ASPF〔Applicaion Specific Packet Filter〕是一种基千应用层的包过滤，它会检查应用层协议信息并且监控连接的应用层协议状态，并通过Server MAP表实现了特殊的安全机制。那么关千ASPF和Server map表的说法，错误的是:
A ASPF监视通信过程中的报文。
B ASPF动态创建和删除过滤规则。
C ASPF通过Ser;ermak表实现动态允许多通道协议数据通过。
D 五元组Server map表项实现了和会话表类似的功能。
Correct Answer: D
12流镜像分为本地流镜像和远程流镜两种方式。
A 正确 B 错误
Correct Answer: A
13下列哪个模块不属于NFV框架内的功能组件？
A VIM B VNF C VNFM D OSS
Correct Answer: D
14Agile Controller服务器的角色不包括下列哪个选项，
A 业务管理器 B 业务控制器 C 安全态势管理器 D 业务检查器
Correct Answer: D
15MPLS，又称为多协议标签交换技术，可以说MPLS技术的核心是标签交换。
A 正确 B 错误
Correct Answer: A
16如图所示，在网络中配置了MPLS LSP，并在SWA和SWB之间实现本地LDP会话，则以下说法正确的是:
A 配置正确
B 两台设备Mpls lsr-id不能配置成一样
C 不需要全局使能MPLS
D 不需要在端口上使能MPLS
Correct Answer: B
17USG系列防火墙的Servermap表的三要素，不包括:
A 目的IP B 目的端口号 C 协议号 D 源IP
Correct Answer: D
18在域间包过滤中，以下属于outbound方向的是哪个选项？
A Trust → untrust B Untrust→trust C Untrust→dmz D trust→local
Correct Answer: A
19Esight网管支持的远程告警通知方式包括:(多选)
A 邮件 B 语音 C 短信 D 微信
Correct Answer: AC
20VXLAN支持哪几种常用的配置方式，(多选〕
A 通过虚拟化软件配置 B 通过SDN 控制器配置 C 通过SNMP协议配置 D 自动配置
Correct Answer: AB21针对不同的需求，DHCP服务器支持多种类型的地址分配策略，其中不包括:
A 自动分配方式
B 动态分配方式
C 重复分配方式
D 手工分配方式
Correct Answer: C
22关于LDP Session建立过程的描述，正确的是:(多选〕
A 两个LSR之间互相发送HELLO消息。HELLO消息中携带传输地址，传输地址较大的一方作为主动方，发起建TCP连接。
B 如果Hello MESSage中没有携Transport Address则该Hello Message的目的IP地址用于建立TCP连接，自的IP地址较大的一方作为主动方发起建立丁C尸连接。
C 主动方会发送Advertisement Message消息，协商建立LDP会话的相关参数，包括LDP协议版本、标签分发方式 KeePalive保持定时器的值、最大PDU长度和标签空间等。
D 如果被动方能够接受相关参数，则发送Initialization I, message消息，同时发送keepalive消息给主动方。
Correct Answer: AD
23VRRP的接口lP地址和虚拟lP地址可以相同。
A 正确 B 错误
Correct Answer: A
24中间人攻击或IP/MAC Spoofing攻击都会导致信息泄露等危害，且在内网中比较常见。
为了防止中间人攻击或IP/MAC Spoofing攻击，可以采取的配置方法有:
A 配置Trusted/Untrusted接口。
B 限制交换机接口上允许学习到的最多MAC地址数目。
C 开启DHCP snooping检查DHCP REQUEST报文中CHADDR字段的功能。
D 在交换机上配置DHCP snooping与DAI或IPSG进行联动。
Correct Answer: D
25针对MAC地址欺骗攻击的描述，错误的是：
A MAC地址欺骗玫击主要利用了交换机MAC地址学习机制。
B 玫击者可以通过伪造的源Mac地址数据帧发送给交换机来实施MAC地址欺骗攻击。
C MAC地址欺骗攻击会造成交换机学习到错误的MAC地址与IP地址的映射关系。
D MAC地址欺骗攻击会导致交换机要发送到正确目的地的数据被发送给了攻击者。
Correct Answer: C
26配置BFD与静态默认路由联动的命令是:
A IP route-static 00000000 100122 bfd-session 1
B IP route-static 00000000 100122 trackbfd-session 1
C IP route-static 00000000 100122 track 1
D IP route-static 00000000 100122 track session1
Correct Answer: B
27Intserv模型，在应用程序发送报文前，需要向网络申请预留资源。
A 正确 B 错误
Correct Answer: A
28NAT技术可以通过对数据加密来实现数据安全传输。
A 正确 B 错误
Correct Answer: B
29要实现设备的所有接口，都开启BFD与OSPF联动功能的命令是:
A bfd enable
B bfd all-interface enable
C all-interface bfd enable
D undo bfdall-interface disable
Correct Answer: B
30单包攻击是指攻击者控制僵尸主机，向目标网络发送大量的攻击报文，造成被攻击网络链路拥塞、系统资源耗尽。
A 正确 B错误
Correct Answer: B
31下列选项中，不属于OVERLAY 模型的技术有:
A GRE B IPSec C SSL D L2TP
Correct Answer: D
32在Agile Controller的准入控制场景中，下列选项关千RAD IUS服务器与客户端角色的描述正确的是:
A Agile Controller集成了RADIUS服务器与客户端的所有功能。
B Agile Controller作为RADIUS服务器端，用户终端作为RADIUS客户端。
C 认证设备(如8021X交换机〕作为RADIUS服务器端，用户终端作为RADIUS客户端。
D Agile Controller作为RADIUS服务器端，认证设备(如8021X交换机)RADIUS客户端。
Correct Answer: D
33在ESIGTH中，可按照哪些条件来设置告警屏蔽规则(多选〕
A 生效时间 B 生效时段 C 告警源 D 告警
Correct Answer: ABCD
34同一安全区域的主机和服务器之间互访时，不需要使用NAT进行地址转换。
A 正确 B 错误
Correct Answer: B
35下列关千防火墙的域间安全策略的描述，正确的是
A 域间安全策略按照排列顺序匹配，排列在前的优先匹配
B 域间安全策略按照ID号码大小匹配，号码小的优先匹配。
C 域间安全策略按照ID号码大小匹配，号码大的优先匹配。
D 域间安全策略按照序号大小自动排列，当改变排列顺序，号码也跟着改变。
Correct Answer: A
36对于此段配置描述错误的是
A 配置GigabitEthernet0/0/1接口为信任接口。
B 如果GigabitEthernet0/0/1接口收到的DHCF请求报文中，没有OPTION82的SUBOPTION1信息，则设备会生成OPTION82，并插入到报文中
C 开启DHCP Snooping配置可以用来防止DHCP server仿冒者攻击。
D 开启DHCP Snooping配置可以用来防止ARP欺骗攻击
Correct Answer: B
37关子NAT地址池的配置命令如下，则其中no-pat参数的含义是:
nat address-group 1
section 0 20220216810 202202 16820
nat-mode no-pat
A 不做地址转换 B 进行端口复用 C 不转换源端口 D 不转换目的端口
Correct Answer: C
38下列选项中，关子Agile Controller的业务随行描述正确的是:(多选〕
A 管理员在配置业务随行时，应该选择合适的用户认证点与策略执行点。
B 在业务随行中，可以定义用户类安全组，这部分安全组中的成员主要指网络的一个静态网段或者服务器资源，它们的IP需要手动与安全组建立绑
C 业务随行中，通过矩阵关系来描迷一个安全组〔比如用户〕到另一个安全组(比如服务器〕的访问权限关系。
D 业务随行中，通过指定某些VIP用户所属安全组的转发优先级，来保障这部分人员的网络使用体验。
Correct Answer: ACD
39MPLS中有转发等价类〔FEC- Forwarding Equivalence Class)的概念，那么FEC不能基于下列哪些标准进行分配？
A 碎片偏移量(Fragment offset)
B 目标地址( Destination Access ）
C 应用协议((Application Protocol)
D 服务类别(Class of Service〕
Correct Answer: A
40快速检测技术可以尽早地检测到与相邻设备间的通信故障，以便系统能够及时采取措施，保证业务不中断。
A 正确 B 错误
Correct Answer: A41在LDP会话建立过程中会经历openSent状态，当openSent状态收到Initialization message，然后发送keepAlive Message时，其状态将会迁移到：
A Initialization
B Openrec
C operational
D Non-existent
Correct Answer: B
42某设备上的配置如下，则对于该配置命令的描述，正确的是:
A 该命令是在客户网络的CE设备上进行配置的。
B Route-Distinguisher 1: 1表明RD的值为1:1，RD不必全局唯一
C -target 1: 1 exportcommunity表明的Export Target为1:1
D -target 2:2 importcommunity表明的import Target为2:2，import Target只能设置一个。
Correct Answer: C
43下列选项中，关于RT的描述正确的是:(多选〕
A 每个实例关联一对或多对 target属性，用来控制路由信息在各站点之间的发布和接收。
B RT可分为两类 target属性: export target与impor target
C export target和impor target 的设置相互独立，并且都可以设置多个值，能够实现灵活的访问控制。
D RT值以BGP扩展团体属性的方式通过Update消息发布给邻居。
Correct Answer: ABCD
44LDF是专门为标签分发而制定的协议，它的消息类型有多种，其中用来宣告和维护网络中一个LSR存在的消息是:
A Discovery message
B Session message
C Advertisement message
D notifcation message
Correct Answer: A
45数据采集的方法主要分为:(多选)
A 分光器物理采集 B 通过端口镜像采集 C NMS集中采集 D 自动采集
Correct Answer: ABC
46在如下图所示的网络中，若要实现SWA和SWC之间的远端LAP会话，则下面的说法正确的是:
A 图中配置已经可以实现
B 需要配置直连接口建立TCP连接
C 需要创建一个远端对等体，然后指定对等体的Isr-id
D 在系统视图下指定对等体的Isr-id
Correct Answer: C
47复杂流分类是指根据五元组〔源/目的地址、源/目的端口号、协议类型〕等信息对报文进行分类，通常应用在网络的核心位置。
A 正确 B 错误
Correct Answer: B
48当两台优先级相同的设备同时竞争Master角色时，则IP地址较小的接口所在的设备应当被选为Master设备。
A 正确 B 错误
Correct Answer: B
49SDN基本工作过程主要包括下面哪些步骤(多选〕
A 拓扑信息搜集 B 网元资源信息收集 C 一转发信息收集 D 生成内部交换路由
Correct Answer: ABD
50以下关于QoS中丢包的说法，错误的有:
A 路由器在收到数据包的时候，可能会因为CPU繁忙，没办法处理数据包，导致出现丢包现象。
B 在把数据包调度到队列的时候，可能会因为队列被装满而导致丢包。
C 数据包在链路上传输的时候，可能会因为链路故障等原因而导致丢包。
D 丢包一般是因为时延造成的，在队列满的时候，一般采用尾丢弃丢包。
Correct Answer: D
51在防火墙上Ping防火墙某接口IP地址时，这些报文将交给防火墙内部模块进行处理，并不被转发出去。
A 正确 B 错误
Correct Answer: A
52根据IP Precedence、MPLS EXP或802 1P信息，可以将报文分为几种业务类型
A 2 B 4 C 6 D 8
Correct Answer: D
53在MPLS体系中，标签的发布方式有两种，分别是:〔多选〕
A 自由方式 B 独立方式 C 保守方式 D 有序方式
Correct Answer: BD
54下面哪些是对网络进行管理的主要目标〔多选〕
A 确保网络用户接收到期望的网络服务质量与技术服务信息。
B 减少设备的搬迁费用。
C 减少网络设备使用年限，和延长服务周期。
D 帮助网络工程师面对复杂的网络数据，并确保数据能够快速全面的呈现给使用者。
Correct Answer: AD
55对于IPv4报文，我们可以根据报文的什么信息来进行简单流分类，(多选〕
A DSCP信息 B IP Precedence。信息 C Traffic Class信息 D 802 1 P信息
Correct Answer: AB
56下面对流量监管的功能描述，正确是:(多选〕
A 对报文不能进行着色处理
B 对报文进行着色处理
C 对超过流量限制的报文进行缓存
D 对超过流量限制的报文不能进行缓存
Correct Answer: BD
57相对于流量监管，流量整形引入了队列，用于缓存超过限制的流量。
关于流量整形，下面描述不正确的是:
A 相对于流量监管，流量整形具有更好的抗突发能力。
B 流量整形可以使报文以比较均匀的速度向外发送。
C 由于引入队列，当发生拥塞时，报文的时延相对增加
D 语音业务更适于采用流量整形，而不是流量监管
Correct Answer: D
58在MPLS 网络中，数据包在进入公网被转发时，会被封装上两层MPLS标签，下列选项中关于两层标签的描述，错误的是:〔多选〕
A MPLS 的外层标签称为私网标签，内层标签称为公网标签。
B MPLS 的外层标签是由LDP协议或静态分配的，内层标签是由对端的MP-BGP邻居分配的。
C 默认情况下，外层标签在数据包转发给最后一跳设备前被d出。
D 外层标签用于在PE设备上将数据包正确发送到相应的中。
Correct Answer: AD
59关子VRRP的描述错误的是:
A VRRP组中的路由器根据优先级选举出Master
B Master由器通过发送免费ARP报文，将自己的虚拟MAC地址通知给与它连接的设备哉者主机。
C 如果Master路由器出现故障，虚拟路由器中的Backup路由器将根据优先级重新选举新的Master
D 因为优先级的范围为1-255，所以当Backup设备收到的VRRP通告报文中的优先级值为0时，Backup将丢弃该报文，不做任何处理。
Correct Answer: D
60Qos服务模型包括:(多选〕
A Best-EffortService模型
B Integrated Service。模型
C Differentiated Service模型
D FIFO Service模型
Correct Answer: ABC信息化的今天Excel功能虽然强大，但是正如你说的，办公的时候还是有它的欠缺，不然为什么大家都来找最好的管理软件呢？
Excel办公无法做到信息共享，工作流流转，无法随时查看企业运转的真实信息。
E立方管理平台就体现了它的优点，它是以Excel为 *** 作界面，自带大型数据库，实现了统一的信息平台，让信息共享，让信息互通。实现了工作流流转、随时查看企业的运营状态、自动填报、减少出错率的多种功能。
设置表间公式自动汇总，自动更新，设置列表窗体数据规范批量输入，可以多人填报，设置权限， *** 作简单，易学易用。
E立方管理平台还可以自主开发，进销存、客户管理、及人事管理的办公软件，也不需要写任何代码来完成。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）