IP源防攻击IPSG（IPSourceGuard）是一种基于二层接口的源IP地址过滤技术，它能够防止恶意主机伪造合法主机的IP地址来仿冒合法主机，还能确保非授权主机不能通过自己指定IP地址的方式来访问网络或攻击网络。

　　一些攻击者通过伪造合法用户的IP地址获取网络访问权限，非法访问网络，甚至造成合法用户无法访问网络，或者信息泄露。IPSG针对IP地址欺骗攻击提供了一种防御机制，可以有效阻止此类网络攻击行为。

　　一个典型的利用IPSG防攻击的示例如图所示，非法主机伪造合法主机的IP地址获取上网权限。此时，通过在设备的接入用户侧的接口或VLAN上部署IPSG功能，设备可以对进入接口的IP报文进行检查，丢弃非法主机的报文，从而阻止此类攻击。

　　IPSG利用绑定表（源IP地址、源MAC地址、所属VLAN、入接口的绑定关系）去匹配检查二层接口上收到的IP报文，只有匹配绑定表的报文才允许通过，其他报文将被丢弃。

　　配置DHCP Snooping功能后，DHCP主机动态获取IP地址时，设备根据DHCP服务器发送的DHCP回复的ACK报文动态生成。

　　绑定表生成后，主机发送的报文，只有匹配绑定表才会允许通过，不匹配绑定表的报文都将被丢弃。缺省情况下，如果在没有绑定表的情况下使能了IPSG，设备将拒绝除DHCP请求报文外的所有IP报文。

　　非法主机仿冒合法主机的IP地址发送报文到达Router后弹性公网ip，因报文和绑定表不匹配被Router丢弃，如下图：

　　IPSG在园区网中的常见应用，如通过IPSG防止主机私自更改IP地址上网、限制非法主机接入网络。

　　•在园区规模稍大时，园区内主机会通过DHCP方式获取IP地址，而部分打印机等使用静态的IP地址。

　　主机只能使用DHCPServer分配的IP地址或者管理员配置的静态地址，随意更改IP地址后无法访问网络，防止主机非法取得上网权限。

　　Host通过Router接入网络，Gateway为企业出口网关，各Host均使用静态配置的IP地址。管理员希望Host使用管理员分配的固定IP地址上网，不允许仿冒其他主机的IP地址非法获取网络访问权限。

　　2.在Router连接用户主机的接口使能IPSG，实现Host只能使用管理员分配的固定IP地址上网。

　　Host_1和Host_2使用管理员分配的固定IP地址可以正常访问网络，更改IP地址后无法访问网络。