IP Source Guard

L’IP Source Guard permet d’autoriser uniquement les clients connus de notre serveur DHCP. Pour se faire, il va se baser sur la DHCP Snooping Database :

SW01# show ip dhcp snooping binding 
 MacAddress   IpAddress        Lease(sec)  Type           VLAN  Interface
 -----------  ---------------  ----------  -------------  ----  ----------
 @MAC01       192.168.1.1      86400       dhcp-snooping  10    Gi0/1
 @MAC02       192.168.1.2      86400       dhcp-snooping  10    Gi0/1
 Total number of bindings: 2

• Cas particulier : Des clients en IP fixe (Téléphone, serveurs, imprimante, etc …)
• Solution :  Prendre en référence notre DHCP Snooping Database ainsi qu’une deuxième Database avec des entrées statiques possibles :

IP Source Guard Database

L’IP Source Guard  (IPSG) :

• Est basée sur le DHCP snooping binding database et les IP source bindings configurés manuellement.
• Prévient des usurpations d’identité (une personne qui prend l’identité d’un utilisateur authentifié)
• À activer sur les interfaces UNTRUSTED.
• Le Switch bloque tout le trafic IP sur l’interface ou le IP Source Guard est activé sauf pour les paquets DHCP.
• Activable uniquement sur des interfaces de niveau 2 (no switchport + IP source Guard = Impossible)