配置DHCP Snooping

最新推荐文章于 2024-11-04 15:30:40 发布

叶落无痕

最新推荐文章于 2024-11-04 15:30:40 发布

阅读量4.9k

点赞数 20

CC 4.0 BY-SA版权

文章标签：网络

本文链接：https://blog.csdn.net/weixin_46041124/article/details/136253871

配置DHCP Snooping防止DHCP Server仿冒者攻击示例
DHCP Snooping简介
        在一次DHCP客户端动态获取IP地址的过程中，DHCP Snooping会对客户端和服务器之间的DHCP报文进行分析和过滤。通过合理的配置实现对非法服务器的过滤，防止用户端获取到非法DHCP服务器提供的地址而无法上网。
        当您的网络中存在DHCP服务器欺骗的时候就可以考虑采用这个功能，比如：
        网络中有个别终端用的是Windows Server 2003或者2008系统，默认开启了DHCP分配IP的服务。
        一些接入层的端口连接有开启了DHCP分配IP服务的无线路由器。
我们推荐在用户接入层交换机上面部署DHCP Snooping功能，越靠近PC端口控制的越准确。而每个交换机的端口推荐只连接一台PC，否则如果交换机某端口下串接一个Hub，在Hub上连接了若干PC的话，那么如果凑巧该Hub下发生DHCP欺骗，由于欺骗报文都在Hub端口间直接转发了，没有受到接入层交换机的DHCP Snooping功能的控制，这样的欺骗就无法防止了。

组网需求
如图3-248所示，SwitchA是接入交换机，下挂的PC采用DHCP获取IP地址。SwitchB是核心交换机，部署了DHCP服务器功能。为了防止有用户将非法的DHCP服务器接入网络，如自带的无线小路由器等，导致正常用户获取到错误的地址而上不了网或者导致正常用户获取到冲突的地址，需要部署DHCP Snooping功能。

配置思路
采用如下思路配置DHCP Snooping：
1、在核心交换机SwitchB上部署DHCP服务器功能。
2、在接入交换机SwitchA上全局使能DHCP Snooping，然后在连接PC的接口使能DHCP Snooping，同时将上联核心交换机的接口配置为信任接口（信任接口正常接收DHCP服务器响应的DHCP报文。另外，接入交换机只会将PC的DHCP请求报文通过信任接口发送给核心交换机）。

操作步骤
1、配置DHCP服务器功能。
# 在SwitchB上配置DHCP服务器功能。
<HUAWEI> system-view
[HUAWEI] sysname SwitchB
[SwitchB] vlan batch 10
[SwitchB] interface gigabitethernet 0/0/1
[SwitchB-GigabitEthernet0/0/1] port link-type trunk
[SwitchB-GigabitEthernet0/0/1] port trunk allow-pass vlan 10<