DHCP Snooping功能介绍与实验效果呈现-Toy模板网

这篇具有很好参考价值的文章主要介绍了DHCP Snooping功能介绍与实验效果呈现。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

dhcp攻击类型

攻击类型

备注

DHCP Starvation

DHCP饿死

攻击者发送大量的不完整的DHCP请求，把DHCP服务器内的可用IP地址快速消耗殆尽

DHCP Spoof

DHCP欺骗

攻击者私自搭建DHCP服务器，影响客户端的IP地址获取

DHCP Snooping：DHCP嗅探，保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击

截获DHCP报文并进行分析处理
建立和维护一个DHCP Snooping绑定表（MAC、IP、租期、VLAN、接口）
对DHCP报文进行过滤和限速

DHCP Snooping端口类型

类型	备注
信任（Trusted）	正常转发接收到的DHCP应答（offer）报文，转发DHCP请求
非信任（Untrusted）	丢弃接收到的DHCP应答报文

DHCP Snooping的信任功能，可以为用户提供进一步的安全性保证

DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源，以防止网络中可能存在的伪造或非法DHCP服务器为其他主机分配IP地址及其他配置信息

DHCP Snooping信任功能将端口分为信任端口和不信任端口：

信任端口是与合法的 DHCP 服务器直接或间接连接的端口。信任端口对接收到的 DHCP 报文正常转发，从而保证了 DHCP 客户端获取正确的 IP 地址
不信任端口是不与合法的 DHCP 服务器连接的端口。从不信任端口接收到DHCP 服务器响应的 DHCP-ACK、DHCP-NAK 和 DHCP-OFFER 报文会被丢弃，从而防止了 DHCP 客户端获得错误的 IP 地址

dhcpsnooping作用,网络技术,服务器,网络

DHCP Snooping绑定表

收到DHCP ACK报文后，会从该报文中提取关键信息
建立MAC+IP+VLAN+Port的绑定关系
只有接收到的报文的信息和绑定表中的内容一直才会被转发，否则报文被丢弃

dhcpsnooping作用,网络技术,服务器,网络

DHCP Snooping配置

推荐在用户接入层交换机上部署DHCP Snooping，越靠近PC端口控制的越准确

dhcpsnooping作用,网络技术,服务器,网络

DHCP服务器配置

dhcp enable #开启DHCP功能
dhcp server ip-pool 1 #配置DHCP地址池
network 192.168.1.0 mask 255.255.255.0
interface GigabitEthernet0/0 #配置IP地址
ip address 192.168.1.1 255.255.255.0

交换机配置

dhcp enable #开启DHCP功能
dhcp snooping enable #全局开启dhcp snooping功能，开启之后，默认设备所有接口处于非信任接口

PS：华为交换机使用dhcp snooping enable仅代表全局开启功能，还需要去接口中开启dhcp snooping功能，或者在vlan中开启，例如在vlan1中开启，那就表示vlan1中的所有接口都开启了dhcp snooping功能

此时让PC设备获取IP地址，过一段时间可以发现，获取不到地址，因为交换机的所有接口都处于非信任接口，DHCP-ACK、DHCP-NAK 和 DHCP-OFFER 报文会被丢弃

使用命令 dis dhcp snooping packet statistics 可以发现收到了7个dhcp报文，并没有发送dhcp报文

dhcpsnooping作用,网络技术,服务器,网络