华为：DHCPv6-Only场景下配置SAVI功能示例

华为：DHCPv6-Only场景下配置SAVI功能示例

组网需求
如图所示，企业某部门使用SwitchA作为直接连接用户的设备。该部门主机数量较多，为了便于统一管理IPv6地址，该部门的主机均通过DHCPv6方式获取IPv6地址。如果存在攻击者发送大量非法DHCPv6协议报文或非法IPv6数据报文，将会存在合法用户通信中断、用户帐号口令被盗用等一系列安全隐患。为了预防这种情况，管理员希望通过在SwitchA上进行配置，对非法的DHCPv6协议报文和IPv6数据报文（源地址非法）进行有效防范，为合法用户提供更安全的网络环境和更稳定的网络服务。
图：DHCPv6-Only场景下配置SAVI功能示例组网图

配置思路
在用户主机上线之前，采用如下思路在SwitchA上进行配置：
（1）配置DHCPv6 Snooping功能，以便生成地址和端口的绑定关系表，用于后续的DHCPv6协议报文和IPv6数据报文源地址合法性检查。
（2）使能SAVI功能，使设备根据绑定关系表对DHCPv6协议报文进行源地址合法性检查，过滤非法DHCPv6协议报文。
（3）使能IP Source Guard功能，使设备根据绑定关系表对IPv6数据报文进行源地址合法性检查，过滤非法IPv6数据报文。

操作步骤
（1）使能SAVI功能
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] savi enable
（2）创建VLAN2
[SwitchA] vlan batch 2
（3）将接口GE0/0/1、GE0/0/2、GE0/0/3加入到VLAN2中
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 2
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 2
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 2
[SwitchA-GigabitEthernet0/0/3] quit
（4）配置DHCPv6 Snooping功能
# 全局使能DHCPv6 Snooping功能。
[SwitchA] dhcp enable
[SwitchA] dhcp snooping enable
# 在VLAN2内使能DHCPv6 Snooping功能。
[SwitchA] vlan 2
[SwitchA-vlan2] dhcp snooping enable
# 在VLAN2内使能DHCPv6协议报文的绑定表匹配检查功能。
[SwitchA-vlan2] dhcp snooping check dhcp-request enable
[SwitchA-vlan2] quit
# 配置接口GE0/0/3为DHCP Snooping信任接口。
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] dhcp snooping trusted
[SwitchA-GigabitEthernet0/0/3] quit

（5）在VLAN2内使能IP Source Guard功能
[SwitchA] vlan 2
[SwitchA-vlan2] ip source check user-bind enable
[SwitchA-vlan2] quit

（6）验证配置结果
# 在系统视图下执行display this命令可以看到全局已经使能SAVI功能和DHCPv6 Snooping功能。
[SwitchA] display this
...
#   
dhcp enable
#   
dhcp snooping enable
#   
savi enable
#
...

# 在VLAN视图下执行display this命令可以看到VLAN2下已经使能DHCPv6 Snooping功能、DHCPv6协议报文绑定表匹配检查功能和IP Source Guard功能。
[SwitchA] vlan 2

[SwitchA-vlan2] display this
#   
vlan 2  
 dhcp snooping enable   
 dhcp snooping check dhcp-request enable
 ipv4 source check user-bind enable  
 ipv6 source check user-bind enable
#  
return

[SwitchA-vlan2] quit

# 在接口视图下执行display this命令可以看到接口GE0/0/3已经配置为DHCP Snooping信任接口。
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] display this
#   
interface GigabitEthernet0/0/3  
 port link-type trunk   
 port trunk allow-pass vlan 2   
 dhcp snooping trusted
#   
return