개념 사전 · 개념
DAI·IP Source Guard
DAI · Dynamic ARP Inspection · 동적 ARP 검사 · IPSG · IP Source Guard · IP 소스 가드
는 패킷의 주소 주장과 필드를 검사하고 는 포트에서 들어오는 IP 출발지를 바인딩과 대조하는 기능이다. 두 기능은 자료를 함께 사용할 수 있지만 검사하는 패킷과 조건이 다르다.
밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.
01무엇이고, 어떤 일을 하나
- 승인되지 않은 IP·MAC 주장으로 캐시가 오염되는 상황을 제한한다.
- 특정 포트·에 허용된 출발지 주소만 데이터 전송에 쓰도록 제어한다.
- 정상 단말 이동·정적 IP·바인딩 유실이 보호 정책과 충돌하는 원인을 설명한다.
02어떤 순서로 동작하나
- 승인 근거 준비
정상 바인딩과 필요한 정적 주소의 승인 자료를 준비한다. 포트 번호만 trusted로 바꾸어 정상 통신을 회복하면 원래 검사 목적을 우회할 수 있으므로 어떤 자료를 참조하는지 명확히 한다.
- 주장 대조
가 적용된 유입에서 IP·MAC 관계를 바인딩이나 과 비교한다. 옵션에 따라 패킷 내 주소와 주소의 일치 및 IP 유효성도 추가로 검사한다.
- IP 데이터 검사
는 IP 패킷의 출발지를 해당 포트·의 허용 상태와 대조한다. 검사가 통과했다는 것과 이후 모든 IP 데이터의 출발지가 승인됐다는 것을 동일시하지 않는다.
- 불일치 분석
drop이 발생하면 실제 패킷 필드·바인딩·포트 이동·임대 시각을 대조한다. 정상 단말의 상태 갱신 누락과 의도적 위조는 둘 다 조건 불일치로 나타날 수 있어 추가 문맥이 필요하다.
03먼저 알아둘 용어와 구성요소
- 바인딩 또는 로 IP와 MAC의 승인 관계를 비교한다.
- Source MAC과 Sender Hardware Address를 대조한다.
- Reply에서 Destination과 Target Hardware Address를 대조한다.
- 인터페이스의 승인된 주소 바인딩을 바탕으로 출발지 IP 등의 필터를 적용한다.
04예제로 따라가기
- MAC-A가 Gi1/0/1에서 192.0.2.10을 임대받고 Gi1/0/2로 이동하면 새 포트 바인딩이 없어 가 막을 수 있다. 링크 up· 정상·MAC 학습 정상과 동시에 IP 데이터 차단이 존재할 수 있다.
- 의 dst-mac 검증을 브로드캐스트 Request에 그대로 적용해 Target MAC이 0이므로 잘못됐다고 판정하면 오류다. 공식 Cisco 범위는 해당 비교를 Reply에 적용한다.
- 지원 Cisco 구현에서 validate src-mac dst-mac 뒤에 validate ip만 재설정하면 옵션 집합이 덮어 써질 수 있다. 각각 입력했으니 자동 누적됐다고 생각하지 말고 최종 설정과 통계를 읽는다.
05혼동하기 쉬운 점과 확인 기준
- 정적 IP는 정상 자산이라도 학습 자료가 없을 수 있다. 의 과 의 정적 바인딩은 지원 플랫폼에서 구분해 설계한다.
- trust와 trust는 서로 다른 기능의 신뢰 경계다. 한 기능의 trust 설정이 모든 L2 보호 검사를 동시에 승인하는 것은 아니다.
06상세 노트 · 실습 자료
헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.
공식 문서 · 표준
기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.