江苏省吴江市双板桥路3号兴源网络

0512-63028342

ly@wjxy.net.cn

华为交换机配置DHCP snooping功能屏蔽非法DHCP

DHCP Snooping是DHCP(Dynamic Host Configuration Protocol)的一种安全特性,用于保证DHCP客户端从合法的DHCP服务器获取IP地址,并记录DHCP客户端IP地址与MAC地址等参数的对应关系,防止网络上针对DHCP攻击。

方法/步骤

1/4分步阅读

DHCP Snooping的基本原理:

开启了DHCP Snooping的设备将用户(DHCP客户端)的DHCP请求报文通过信任接口发送给合法的DHCP服务器。之后设备根据DHCP服务器回应的DHCP ACK报文信息生成DHCP Snooping绑定表。后续设备再从开启了DHCP Snooping的接口接收用户发来的DHCP报文时,会进行匹配检查,能够有效防范非法用户的攻击。

简单一句话,就是IP地址只能从我指定的信任接口获取,其它接口发过来的报文我都不信任,不接受,也不分配IP地址。

2/4

使用场景:DHCP服务器——SW—–PC  这个是正常的典型网络PC通过DHCP获取IP地址,如果这个时候SW下面再挂接一个路由器,或者是其它的DHCP服务器时,PC有可能会获取到别的IP地址具体如下图:

3/4

开启了DHCP后,如下图,会生成一个绑定表,并且只有指定的端口才可以发送报文进行DHCP的分配 ,其它端口的报文全部丢弃。

4/4

实验拓扑:

#

sysname PE1

#

dhcp enable       //开启DHCP服务

#

dhcp snooping enable      //开启DHCP snooping功能

#

interface GigabitEthernet1/0/1

dhcp snooping enable         //在接入层的所有端口开启

#

interface GigabitEthernet1/0/2

dhcp snooping enable         //在接入层的所有端口开启

#

interface GigabitEthernet2/0/1

dhcp snooping trusted          //在接DHCP服务器或者中继端口开启端口信任,只有这个端口分配过来的IP我才会接受。

#

return

这里只做最主要最重要的相关配置,还有其它特别优化的配置请自行去研究。

发表评论

邮箱地址不会被公开。 必填项已用*标注