Cisco Systems WSC4500X16SFP Manual De Usuario

Switch(config-if)# switchport trunk native vlan 10

Switch(config-if)# switchport trunk allowed vlan 11-20

Switch(config-if)# no ip dhcp snooping trust

Switch(config-if)# ip verify source vlan dhcp-snooping

Switch(config)# end

Switch# sh ip verify source interface f6/1

Interface  Filter-type  Filter-mode  IP-address       Mac-address        Vlan

---------  -----------  -----------  ---------------  -----------------  ----------

Fa6/1      ip-mac       active       10.0.0.1                            10  

Fa6/1      ip-mac       active       deny-all                            11-20  

Switch#

The output shows that there is one valid DHCP binding to VLAN 10.

For private VLAN ports, you must enable DHCP snooping on primary VLANs in order for IP source 
guard to be effective. IP source guard on a primary VLAN will automatically propagate to a secondary 
VLAN. Configuring a static IP source binding on a secondary VLAN is allowed, but it will not take 
effect. When manually configuring a static IP source binding on a secondary VLAN, you will receive 
the following warning:

You can display IP Source Guard PVACL information for all interfaces on a switch using the
show ip verify source command.

This example shows displayed PVACLs if DHCP snooping is enabled on VLAN 10 through 20, if 
interface fa6/1 is configured for IP filtering, and if there is an existing IP address binding 10.0.01 
on VLAN 10:

Interface  Filter-type  Filter-mode  IP-address       Mac-address     Vlan

---------  -----------  -----------  ---------------  --------------  ---------

fa6/1      ip           active       10.0.0.1                         10

fa6/1      ip           active       deny-all                         11-20

The second entry shows that a default PVACL (deny all IP traffic) is installed on the port for those 
snooping-enabled VLANs that do not have a valid IP source binding.

This example shows displayed PVACL for a trusted port:

Interface  Filter-type  Filter-mode  IP-address       Mac-address     Vlan

---------  -----------  -----------  ---------------  --------------  ---------

fa6/2      ip           inactive-trust-port

This example shows displayed PVACL for a port in a VLAN not configured for DHCP snooping:

Interface  Filter-type  Filter-mode  IP-address       Mac-address     Vlan

---------  -----------  -----------  ---------------  --------------  ---------

fa6/3      ip           inactive-no-snooping-vlan