华为：SLAAC-Only场景下配置SAVI功能示例

华为：SLAAC-Only场景下配置SAVI功能示例

组网需求
如图所示，企业某部门使用SwitchA作为直接连接用户主机的设备。网络中未部署DHCPv6服务器，该部门主机只能通过无状态地址自动配置方式获取IPv6地址。如果存在攻击者发送大量非法ND协议报文或非法IPv6数据报文，将会存在合法用户主机通信中断、用户帐号口令被盗用等一系列安全隐患。为了预防这种情况，管理员希望通过在SwitchA上进行配置，对非法的ND协议报文和IPv6数据报文（源地址非法）进行有效防范，为合法用户提供更安全的网络环境和更稳定的网络服务。
图：SLAAC-Only场景下配置SAVI功能示例组网图

配置思路
在用户主机上线之前，采用如下思路在SwitchA上进行配置：
（1）配置ND Snooping功能，以便生成地址和端口的绑定关系表，用于后续的ND协议报文和IPv6数据报文源地址合法性检查。
（2）使能SAVI功能，使设备根据绑定关系表对ND协议报文进行源地址合法性检查，过滤非法ND协议报文。
（3）使能IP Source Guard功能，使设备根据绑定关系表对IPv6数据报文进行源地址合法性检查，过滤非法IPv6数据报文。

操作步骤
（1）使能SAVI功能
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] savi enable
（2）创建VLAN2
[SwitchA] vlan batch 2
（3）将接口GE0/0/1、GE0/0/2、GE0/0/3加入到VLAN2中
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 2
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 2
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 2
[SwitchA-GigabitEthernet0/0/3] quit

（4）配置ND Snooping功能
# 全局使能ND Snooping功能。
[SwitchA] nd snooping enable
# 在VLAN2内使能ND Snooping功能。
[SwitchA] vlan 2
[SwitchA-vlan2] nd snooping enable
# 在VLAN2内使能对NA报文和NS报文进行合法性检查功能。
[SwitchA-vlan2] nd snooping check na enable
[SwitchA-vlan2] nd snooping check ns enable
[SwitchA-vlan2] quit
# 配置接口GE0/0/3为ND Snooping信任接口。
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] nd snooping trusted
[SwitchA-GigabitEthernet0/0/3] quit
（5）在VLAN2内使能IP Source Guard功能
[SwitchA] vlan 2
[SwitchA-vlan2] ipv6 source check user-bind enable
[SwitchA-vlan2] quit

（6）验证配置结果
# 在系统视图下执行display this命令可以看到全局已经使能SAVI功能和ND Snooping功能。
[SwitchA] display this   
...
#   
nd snooping enable
savi enable
#
...

# 在VLAN视图下执行display this命令可以看到VLAN2下已经使能ND Snooping功能、ND协议报文合法性检查功能和IP Source Guard功能。
[SwitchA] vlan 2
[SwitchA-vlan2] display this
#   
vlan 2  
 nd snooping enable   
 nd snooping check ns enable
 nd snooping check na enable  
 ipv6 source check user-bind enable
#   
return
[SwitchA-vlan2] quit

# 在接口视图下执行display this命令可以看到接口GE0/0/3已经配置为ND Snooping信任接口。
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] display this
#   
interface GigabitEthernet0/0/3  
 port link-type trunk   
 port trunk allow-pass vlan 2   
 nd snooping trusted
#   
return