IP ソース ガードは、インターフェイス単位のトラフィック フィルタです。各パケットの IP アドレスと MAC アドレスが、IP と MAC のアドレス バインディングのうち、次に示す 2 つの送信元のどちらかと一致する場合だけ、IP トラフィックを許可します。

• Dynamic Host Configuration Protocol（DHCP）スヌーピング バインディング テーブル内のエントリ

• 設定したスタティック IP ソース エントリ

信頼できる IP および MAC のアドレス バインディングのフィルタリングは、スプーフィング攻撃（有効なホストの IP アドレスを使用して不正なネットワーク アクセス権を取得する攻撃）の防止に役立ちます。IP ソース ガードを妨ぐためには、攻撃者は有効なホストの IP アドレスと MAC アドレスを両方スプーフィングする必要があります。

DHCP スヌーピングで信頼状態になっていないレイヤ 2 インターフェイスの IP ソース ガードをイネーブルにできます。IP ソース ガードは、アクセス モードとトランク モードで動作するように設定されているインターフェイスをサポートしています。IP ソース ガードを最初にイネーブルにすると、次のトラフィックを除いて、そのインターフェイス上のインバウンド IP トラフィックがすべてブロックされます。

• DHCP パケット。DHCP パケットは、DHCP スヌーピングによって検査が実行され、その結果に応じて転送またはドロップされます。

• Cisco NX-OS デバイスに設定したスタティック IP ソース エントリからの IP トラフィック。

デバイスが IP トラフィックを許可するのは、DHCP スヌーピングによって IP パケットの IP アドレスと MAC アドレスのバインディング テーブル エントリが追加された場合、またはユーザがスタティック IP ソース エントリを設定した場合です。

パケットの IP アドレスと MAC アドレスがバインディング テーブル エントリにも、スタティック IP ソース エントリにもない場合、その IP パケットはドロップされます。たとえば、show ip dhcp snooping binding コマンドによって表示されたバインディング テーブル エントリが次のとおりであるとします。

MacAddress         IpAddress    LeaseSec   Type           VLAN    Interface    
-----------------  ----------   ---------  -------------  ----    ---------  
00:02:B3:3F:3B:99  10.5.5.2     6943       dhcp-snooping  10      Ethernet2/3

IP アドレスが 10.5.5.2 の IP パケットをデバイスが受信した場合、IP ソース ガードによってこのパケットが転送されるのは、このパケットの MAC アドレスが 00:02:B3:3F:3B:99 のときだけです。

IP ソース ガードの前提条件は次のとおりです。

• IP ソース ガードを設定するには、その前に DHCP 機能および DHCP スヌーピングをイネーブルにする必要があります。DHCP の設定を参照してください。

• hardware access-list tcam region ipsg コマンドを使用して、IP ソース ガード用の ACL TCAM のリージョン サイズを設定する必要があります。ACL TCAM リージョン サイズの設定を参照してください。

  Note	デフォルトでは、ipsg のリージョン サイズはゼロです。SMAC-IP バインディングの保存と適用をするには、このリージョンに十分なエントリを割り当てる必要があります。

IP ソース ガードに関する注意事項と制約事項は次のとおりです。

• IP ソース ガードは、インターフェイス上の IP トラフィックを、IP-MAC アドレス バインディング テーブル エントリまたはスタティック IP ソース エントリに送信元が含まれているトラフィックだけに制限します。インターフェイス上の IP ソース ガードを初めてイネーブルにする際には、そのインターフェイス上のホストが DHCP サーバから新しい IP アドレスを受信するまで、IP トラフィックが中断されることがあります。

• IP ソース ガードの機能は、DHCP スヌーピング（IP-MAC アドレス バインディング テーブルの構築および維持に関して）、またはスタティック IP ソース エントリの手動での維持に依存しています。

• IPソースガードは、ファブリックエクステンダ（FEX）ポートまたは汎用拡張モジュール（GEM）ポートではサポートされていません。

• 次の注意事項と制約事項は Cisco Nexus 9200 シリーズ スイッチに適用されます。

  • 着信インターフェイスでIPSGがイネーブルになっている場合、IPv6隣接関係は形成されません。

  • IPSGはHSRPスタンバイでARPパケットをドロップします。

  • DHCPスヌーピングおよびIPSGをイネーブルにすると、ホストのバインディングエントリが存在する場合、トラフィックはARPがなくてもホストに転送されます。

• Cisco NX-OS リリース 9.3(5) 以降、IP Source Guard は Cisco Nexus 9364C-GX、Cisco Nexus 9316D-GX、および Cisco Nexus 93600CD-GX スイッチでサポートされています。

• IP ソース ガードは、Cisco Nexus 9300-X クラウド スケール スイッチで TCAM カービングを必要としません。

次の表に、IP ソース ガードのパラメータのデフォルト設定を示します。

show ip ver source [ethernet slot/port | port-channel channel-number] を使用します コマンドを使用して、IP-MAC アドレスのバインディングを表示します。

IP ソース ガード統計情報をクリアするには、次の表に示すコマンドを使用します。