等闲之辈莫等闲

dhcp snooping

DHCP Snooping 是部署在二层交换机上的核心 DHCP 安全机制，核心作用是拦截非法 DHCP 服务器、防止 DHCP 欺骗、生成 IP-MAC - 端口绑定表，是企业内网防私接路由、防中间人攻击的基础防线。
一、核心作用
防御非法 DHCP 服务器（Rogue DHCP）
阻止私接家用路由、误开热点、恶意设备冒充 DHCP 服务器，避免终端拿到错误网关 / DNS 导致断网或被劫持。
生成并维护 DHCP 绑定表（Binding Table）
记录：IP、MAC、VLAN、端口、租约时间。
为 DAI（动态 ARP 检测）、IPSG（IP 源防护） 提供合法性依据，实现 ARP 防欺骗、IP 流量控制。
报文校验与过滤
校验 DHCP 请求报文的源 MAC 与 CHADDR 字段一致性，防止伪造请求。
过滤畸形、恶意 DHCP 报文。
二、工作原理（信任端口机制）
1. 端口分类（核心）
信任端口（Trusted）
连接合法 DHCP 服务器 / 汇聚交换机的端口。
允许转发所有 DHCP 报文（Discover、Offer、Request、ACK 等）。
非信任端口（Untrusted）
连接普通终端 / 用户的端口（默认所有端口均为 Untrusted）。
只允许客户端请求报文（Discover/Request）通过；直接丢弃所有服务器响应报文（Offer/ACK/NAK）。
2. 工作流程（DORA 交互）
终端发 DHCP Discover → 交换机（Untrusted 口）放行 → 转发至 Trusted 口 → 合法服务器收到。
服务器回 DHCP Offer/ACK → 仅从 Trusted 口进入 → 交换机记录绑定表 → 转发给终端。
非法服务器从 Untrusted 口发 Offer/ACK → 交换机直接丢弃，不转发、不学习。
三、关键概念：DHCP 绑定表
动态生成：从信任端口收到的 DHCP ACK中提取信息生成。
表项内容：MAC地址 + IP地址 + VLAN ID + 端口号 + 租约到期时间。
用途：
定位 IP 对应的物理端口（排查 IP 冲突、私接设备）。
配合 DAI：仅允许绑定表内的 ARP 报文通过，防 ARP 欺骗。
配合 IPSG：仅允许绑定表内的 IP-MAC 组合通信，防 IP 伪造。
四、典型配置示例（华为 / H3C/Cisco 通用逻辑）
1. 全局启用 DHCP Snooping
plaintext
# 华为/H3C
dhcp snooping enable
dhcp snooping enable vlan 10 20 # 对指定VLAN生效  阅读全文...