华为交换机DHCP snooping配置教程
15-dhcp-snooping命令
【参数】 无
【描述】 dhcp-snooping 命 令 用 来 开 启 交 换 机 监 听 DHCP 广 播 报 文 的 功 能 ， undo dhcp-snooping 命令用来关闭此功能。 缺省情况下，交换机关闭监听 DHCP 广播报文功能。 相关配置可参考命令 display dhcp-snooping。
【视图】 任意视图
1-1
H3C S3100-SI 系列以太网交换机 命令手册 DHCP-Snooping
【参数】
无
第 1 章 DHCP-Snooping 配置命令
【描述】
display dhcp-snooping 命令用来显示通过 DHCP-Snooping 记录的用户 IP 地址和 MAC 地址的对应关系。 相关配置可参考命令 dhcp-snooping。
【举例】 # 启动监听 DHCP 功能。
<H3C> system-view System View: return to User View with Ctrl+Z [H3C] dhcp-snooping
1.1.2 display dhcp-snooping
【命令】 display dhcp-snooping
H3C S3100-SI 系列以太网交换机 命令手册 DHCP-Snooping
目录
目录
第 1 章 DHCP-Snooping配置命令 ...........................................................................................1-1 1.1 DHCP-Snooping配置命令.................................................................................................. 1-1 1.1.1 dhcp-snooping......................................................................................................... 1-1 1.1.2 display dhcp-snooping ............................................................................................ 1-1
华为S2300 DHCP snooping 配置
方法二：
<Quidway> system-view
[Quidway] dhcp enable
[Quidway] dhcp snooping enable-----使能全局DHCP Snooping功能。
[Quidway] interface gigabitethernet 0/0/2
[Quidway]vlan 10---------------用户所属的vlan
[Quidway-vlan10]dhcp snooping enable
[Quidway-vlan10]dhcp snooping trusted interface GigabitEthernet0/0/16-----------上行接server的端口配置为信任端口
[Quidway] port-group portgroup1
[Quidway-port-group-portgroup1] group-member Ethernet 0/0/1 to Ethernet 0/0/10
[Quidway-port-group-portgroup1]――――在这个视图下统一配置DHCP Snooping enable 即可
[Quidway-GigabitEthernet0/0/1]dhcp snooping enable
[Quidway-GigabitEthernet0/0/1] quit
端口组操作：
# 将以太网端口GigabitEthernet 0/0/1加入端口组portgroup1。
<Quidway> system-view
[Quidway-GigabitEthernet0/0/2] dhcp snooping enable---------所有接口下使能DHCP Snooping功能（闲麻烦可以把这些端口加入到一个端口组来操作，见下面）
华为路由器dhcp简单配置实例
华为路由器dhcp简单配置实例session 1 DHCP的工作原理DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是一个局域网的网络协议，使用UDP协议工作，主要有两个用途：给内部网络或网络服务供应商自动分配IP地址，给用户或者内部网络管理员作为对所有计算机作中央管理的手段，在RFC 2131中有详细的描述。
DHCP有3个端口，其中UDP67和UDP68为正常的DHCP 服务端口，分别作为DHCP Server和DHCP Client的服务端口；546号端口用于DHCPv6 Client，而不用于DHCPv4，是为DHCP failover服务，这是需要特别开启的服务，DHCP failover是用来做“双机热备”的。
DHCP协议采用UDP作为传输协议，主机发送请求消息到DHCP服务器的67号端口，DHCP服务器回应应答消息给主机的68号端口，DHCP的IP地址自动获取工作原理及详细步骤如下：1、DHCP Client以广播的方式发出DHCP Discover报文。
2、所有的DHCP Server都能够接收到DHCP Client发送的DHCP Discover报文，所有的DHCP Server都会给出响应，向DHCP Client发送一个DHCP Offer报文。
DHCP Offer报文中“Your(Client) IP Address”字段就是DHCP Server 能够提供给DHCP Client使用的IP地址，且DHCP Server会将自己的IP地址放在“option”字段中以便DHCP Client 区分不同的DHCP Server。
DHCP Server在发出此报文后会存在一个已分配IP地址的纪录。
3、DHCP Client只能处理其中的一个DHCP Offer报文，一般的原则是DHCP Client处理最先收到的DHCP Offer报文。
配置DHCP Snooping的实验
上机实验报告1.实验目的掌握通过DHCP Snooping方式实现DHCP Server合法性检查功能。
2．实验设备2台H3C S3600交换机（软件版本CMW310-R1510P12 )1台PC3．实验网络拓扑图图1 DHCP Snooping实验环境4．实验环境说明本实验环境由2台S3600 (SW A和SWB）交换机和1台PC ( HostA）组成，连接方式和IP地址分配具体参见图1。
HostA作为DHCP Client, SWA作为DHCP Snooping设备，SWB作为DHCP Server,通过Eth1同HOSTA连接，通过Eth2端口同SWB的Eth1端口进行连接。
SW A监听HostA和SWB之间的DHCP消息，根据当前设备的配置情况实现对非法DHCP Server的过滤功能。
5. 设备配置SWA[SWA]dhcp-snooping[SWA］interface Ethernet 102[SWA-Ethernetl02]dhcp-snooping trustSWB[SWB]dhcp enable[SWB]vlan 300[SWB-v1an300]port Ethernet 101[SWBinterface Vlan-interface300[SWB-Vlan-interface300]ip address 3.3.3.254 255.255.255.0[SWB]dhcp server ip-pool 1(SWB-dhcp-pool-1]network 3.3.3.0 mask 255.255.255.0[SWB-dhcp-pool-1]gateway-list 3.3.3.2546.验证按照上述设备配置HostA，可以正确从SWB动态获得网络配置信息，使用命令undo dhcp-snooping trust将Eth2端口设为非信任端口后，HostA无法动态获取相应的网络配置信息。
华为交换机DHCP snooping配置教程
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
华为DHCP Snooping配置实例
DHCP Snooping配置介绍DHCP Snooping的原理和配置方法，并给出配置举例。
配置DHCP Snooping的攻击防范功能示例组网需求如图9-13所示，SwitchA与SwitchB为接入设备，SwitchC为DHCP Relay。
Client1与Client2分别通过GE0/0/1与GE0/0/2接入SwitchA，Client3通过GE0/0/1接入SwitchB，其中Client1与Client3通过DHCP方式获取IPv4地址，而Client2使用静态配置的IPv4地址。
网络中存在非法用户的攻击导致合法用户不能正常获取IP地址，管理员希望能够防止网络中针对DHCP的攻击，为DHCP用户提供更优质的服务。
图9-13配置DHCP Snooping的攻击防范功能组网图配置思路采用如下的思路在SwitchC上进行配置。
1.使能DHCP Snooping功能并配置设备仅处理DHCPv4报文。
2.配置接口的信任状态，以保证客户端从合法的服务器获取IP地址。
3.使能ARP与DHCP Snooping的联动功能，保证DHCP用户在异常下线时实时更新绑定表。
4.使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能，以防止非DHCP用户攻击。
5.使能对DHCP报文进行绑定表匹配检查的功能，防止仿冒DHCP报文攻击。
6.配置DHCP报文上送DHCP报文处理单元的最大允许速率，防止DHCP报文泛洪攻击。
7.配置允许接入的最大用户数以及使能检测DHCP Request报文帧头MAC与DHCP数据区中CHADDR字段是否一致功能，防止DHCP Server服务拒绝攻击。
操作步骤1.使能DHCP Snooping功能。
# 使能全局DHCP Snooping功能并配置设备仅处理DHCPv4报文。
<HUAWEI> system-view[HUAWEI] sysname SwitchC[SwitchC] dhcp enable[SwitchC] dhcp snooping enable ipv4# 使能用户侧接口的DHCP Snooping功能。
三层交换机09-DHCP Snooping典型配置举例
H3C S5130-EI DHCP Snooping 典型配置举例目录1 简介 (1)2 配置前提 (1)3 DHCP Snooping配置举例 (1)3.1 组网需求 (1)3.2 配置思路 (2)3.3 使用版本 (2)3.4 配置步骤 (2)3.5 验证配置 (5)3.6 配置文件 (6)4 相关资料 (7)1 简介本文档介绍了DHCP Snooping 相关应用的配置举例。
2 配置前提本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。
如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文假设您已了解DHCP 相关特性。
3 DHCP Snooping配置举例3.1 组网需求如图1 所示，某科研机构有三个项目组，分布在不同的楼层中，通过楼层间的DHCP Snooping 设备与DHCP Server相连。
为了方便管理，希望通过DHCP 服务器统一分配IP 地址，同时要求：•根据项目组的规模，分配不同范围的IP 地址，为group1 分配192.168.0.2～192.168.0.39之间的IP 地址，为group2 分配192.168.0.40～192.168.0.99 之间的IP 地址，为group3 分配192.168.0.100～192.168.0.200 之间的IP 地址；•保证客户端从合法的服务器获取IP 地址；•禁止用户通过配置静态IP 地址的方式接入网络。
图1 DHCP Snooping 配置组网图UnauthorizedDHCP serverDHCP snoopingDevice A GE1/0/4GE1/0/1 GE1/0/2 GE1/0/1 GE1/0/2Vlan-int2 192.168.0.1GE1/0/1Group1 GE1/0/3 GE1/0/3 DHCP snoopingDevice C DHCP server Device DGE1/0/1 GE1/0/4GE1/0/2Group2 GE1/0/3 DHCP snoopingDevice B Group33.2 配置思路•在多个DHCP Snooping设备级联的网络中，为了节省系统资源，不需要每台DHCP Snooping设备都记录所有DHCP客户端的IP地址和MAC地址的绑定信息，只需在与客户端直接相连的不信任端口上记录绑定信息。
华为X7交换机DHCP SNOOPING强制终端自动获取地址接入网络应用
DHCP SNOOPING强制用户自动获取地址接入网络配置案例一、应该场景介绍客户要求内网用户必须强制性通过DHCP服务器获取IP地址，自己手工设置的IP地址无效不能接入网络，防止用户乱改IP引起网络风暴，同时也方便管理。
客户网络比较小，就几台交换机，通过光纤连入另外地方的总部，交换机用的是S3700-28TP-EI，了解到客户需求时，我心里没底，从来没在华为的交换机上配置过，只是听说通过DHCP SNOOPING来实现，于是到处查资料，打电话，最后打电话询问厂家服务经理，还有800售后电话，他们都告诉我，电脑第一次接入网络必须通过DHCP服务器获取地址接入网络，手工设置的IP无法接入网络，但是之后由于交换机已经学习到了此电脑的MAC，之后用手工配置相同网段的地址也可以接入网络；按照配置手册上DHCP SNOOPING的步骤调试，结果果然是和厂家说的一样。
这时客户说不行要达到他们的要求，必须是每次都只能通过DHCP接入网络，正好客户认识一个做华为维保的工程师，打电话过去后，告诉我加了一条IP报文检查命令，然后做接入实验，真的就达到了客户提的要求，下面就详细介绍此案例配置过程。
二、网络环境拓扑图接入交换机上配置2个VLAN，VLAN4、VLAN5；VLAN4配置级联地址接入总部，VLAN5是终端用户的业务VLAN；在业务VLAN5上配置DHCP中继。
三、配置步骤1、开启DHCP SNOOPING(VLAN的配置过程和DHCP中继配置省略)[Quidway]dhcp enable[Quidway]dhcp snooping enable2、在业务端口上配置DHCP SNOOPING（级联端口不用做任何配置）[Quidway] interface Ethernet 0/0/2[Quidway-Ethernet0/0/2] dhcp snooping enable3、在业务端口上配置IP报文检查功能[Quidway-Ethernet0/0/2]ip source check user-bind enable这条命令式是检查dhcp snooping ip地址绑定表，和绑定表里面的IP地址匹配的数据就转发访问网络，没有则丢弃，这个就是此案例中最关键的配置。
华为交换机DHCP配置
[SwitchA]interface Vlan-interface 10
4. 为VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5. 在VLAN接口10上选择接口方式分配IP地址
【补充说明】
也可以在全局配置模式下，使能某个或某些VLAN接口上的DHCP中继功能，例如：[SwitchA]dhcp select relay interface Vlan-interface 10
3，DHCP Snooping
『配置环境参数』
1. DHCP Server连接在交换机SwitchA的G1/1端口，属于vlan10，IP地址为10.10.1.253/24
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5. 在VLAN接口10上选择全局地址池方式分配IP地址
[SwitchA-Vlan-interface10]dhcp select global
6. 创建全局地址池，并命名为”vlan10”
利用全局地址池方式，可以完成为用户分配与三层交换机本身VLAN接口地址不同网段的IP地址。
2，DHCP Relay配置
『配置环境参数』
1. DHCP Server的IP地址为192.168.0.10/24
2. DHCP Server连接在交换机的G1/1端口，属于vlan100，网关即交换机vlan接口100的地址192.168.0.1/24
3. E0/1-E0/10属于vlan10，网段地址10.10.1.1/24
DHCP snooping配置指南
Red-Giant(config)#end
Red-Giant#
2.2 配置 DHCP 源 MAC 检查功能
配置此命令后，交换机就会对 UNTRUST 口送上来的 DHCP request 报文进行源 MAC 和 client 字段的 MAC 地址进行校验检查，丢弃不合法的报文。默认不检查。
命令
说明
configure terminal
第1页 共9页
第一部分 基础配置指导
第一章 DHCP snooping 简介
第一章 DHCP snooping 简介
1.1 理解 DHCP
DHCP 协议被广泛用来动态分配可重用的网络资源，如 IP 地址。一次典型的 DHCP 获 取 IP 的过程如下所示：
DHCP snooping 绑定数据库：在 DHCP 环境的网络里经常会出现用户私自设置 IP 地址 的问题，用户私设 IP 地址不但使网络难以维护，并且会导致一些合法的使用 DHCP 获取 IP 的用户因为冲突而无法正常使用网络，DHCP snooping 通过窥探 client 和 server 之间交互的报文，把用户获取到的 IP 信息以及用户 MAC、VID、PORT、租约 时间等信息组成一个用户记录表项，从而形成一个 DHCP snooping 的用户数据库。
DHCP snooping 就是通过对经过交换机的 DHCP 报文进行合法性检查，丢弃不合法的 DHCP 报文，并记录用户信息生成 DHCP snooping 绑定数据库供 ARP 检测查询使用。 以下几种类型的报文被认为位非法的 DHCP 报文：
1、UNTRUST 口收到的 DHCP reply 报文，包括 DHCPACK、DHCPNACK、DHCPOFFER 等。
DHCP Snooping,IPSG,DAI 配置实例
DHCP Snooping，IPSG，DAI 配置实例（本文适用于FSM72xxRS,GSM72xxv2,GSM73xxS,GSM73xxSv2系列交换机8.0以上版本）一、网络拓扑图及说明a）拓扑图b）拓扑说明汇聚层交换机为GSM7328S,核心交换机为GSM7352S，接入层交换机为FS728TS。
GSM7328S上配置IP DHCP Snooping和DAI以及IPSG，上联和下联端口均配置802.1Q VLAN，GSM7352S上配置VLAN 路由和DHCP服务器。
FS728TS配置二层VLAN。
FS728TS的两个VLAN下各接一台电脑。
二、预配置步骤a. 配置GSM7352S上的VLAN路由和DHCP服务器i. 创建VLAN 100，200，启用VLAN100，200的路由ii. 将下联端口1/0/48划入VLAN100，200并打tagging。
iii. 设置VLAN100，200的IP分别为172.16.100.1/24和172.16.200.1/24iv. 启用DHCP服务，为VLAN100，200建立DHCP地址池。
b. 配置GSM7328S和FS728TS上的VLANi. 创建VLAN 100，200将GSM7328S上联口1/0/24，下联口1/0/2划入VLAN100，200并打tagging。
ii. FS728TS上创建VLAN 100，200，将上联口1/g2划入VLAN100，200并打tagging，将下联的端口1/e1和1/e2划入100，1/e3和1/e4划入VLAN200，修改1/e1和1/e2的PVID为100，1/e3和1/e4的PVID为200。
三、DHCP Snooping配置步骤a)启用DHCP Snooping功能i. 从Security/Control/DHCP Snooping／GlobalConfiguration页面，将DHCP SnoopingMode改为Enable, 并添加VLAN 100，VLAN200的DHCP Snooping Mode为Enable。
交换机DHCP-snooping该如何配置
交换机DHCP-snooping该如何配置交换机DHCP-snooping该如何配置DHCP监听被开启后，交换机限制用户端口(非信任端口)只能够发送DHCP请求，丢弃来自用户端口的所有其它DHCP报文。
下面是YJBYS店铺整理的交换机DHCP-snooping的配置方法，希望对你有帮助!案例需求1.PC可以从指定DHCP Server获取到IP地址;2.防止其他非法的DHCP Server影响网络中的主机。
参考如下如完成配置：DHCP Snooping配置步骤1.进入系统视图system-view2.全局使能dhcp-snooping功能[H3C]dhcp-snooping3.进入端口E1/0/2[H3C] interface Ethernet 1/0/23.将端口E1/0/2配置为trust端口，[H3C-Ethernet1/0/2]dhcp-snooping trustDHCP Snooping配置关键点1.当交换机开启了DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的`DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。
另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。
信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。
这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址;2.由于DHCP服务器提供给用户包含了服务器分配给用户的IP地址的报文―“dhcp offer”报文，由E1/0/2端口进入交换机并进行转发，因此需要将端口E1/0/2配置为“trust”端口。
如果交换机上行接口配置为Trunk端口，并且连接到DHCP中继设备，也需要将上行端口配置为“trust”端口。
【交换机DHCP-snooping该如何配置】。
华为交换机DHCPsnooping配置教程资料
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
任务4.2 交换机DHCP Snooping配置
任务4.2 交换机DHCP Snooping配置ØDHCP基本概念ØDHCP攻击介绍ØDHCP Snooping原理ØDHCP及DHCP Snooping配置流程ØDHCP及DHCP Snooping配置命令•DHCP在应用的过程中存在安全方面的问题，如在遭受DHCP Server仿冒者攻击、DHCPServer拒绝服务攻击等都会影响网络的正常通信。
•DHCP Snooping可以有效防御DHCP各类攻击，保障DHCP环境的安全稳定。
•本次任务介绍DHCP Snooping的基本原理和配置方法。
ØDHCP环境下的角色•DHCP服务器：负责为DHCP客户端分配网络参数。
DHCP可以是专用服务器，也可以是支持DHCP服务的网络设备。
•DHCP客户端：自动获取IP地址等网络参数的设备。
如用户终端（计算机、IP电话）、AP等。
•DHCP中继。
负责转发DHCP服务器和DHCP客户端之间的DHCP报文，协助DHCP服务器向DHCP客户端动态分配网络参数的设备。
DHCP服务器和DHCP客户端不在同一网段，就需要DHCP中继设备转发协议报文。
DHCP角色ØDHCP地址池DHCP服务器可以为客户端分配的所有IP地址的集合。
包括IP地址范围、网关、DNS等网络参数。
•基于接口方式的地址池：地址池为DHCP服务器接口所属网段的IP地址，且地址池中地址只能分配给此接口下的客户端。
适用于DHCP服务器与客户端在同一个网段的场景。
•基于全局方式的地址池：在系统视图下创建的全局地址池，同一DHCP服务器可以配置多个地址池。
服务器接口调用全局地址池为其所连接的客户端分配地址。
无DHCP中继场景ØDHCP地址池DHCP服务器可以为客户端分配的所有IP地址的集合。
包括IP地址范围、网关、DNS等网络参数。
•基于接口方式的地址池：地址池为DHCP服务器接口所属网段的IP地址，且地址池中地址只能分配给此接口下的客户端。
华为S3700-DHCP-Snooping配置
1.S3700 DHCP Snooping 配置1.1配置防止DHCP Server 仿冒者的攻击防止DHCP Server 仿冒者攻击的基本配置过程，包括配置信任接口、配置DHCPReply 报文丢弃告警功能。
#dhcp enabledhcp snooping enabledhcp server detect#interface GigabitEthernet0/0/1dhcp snooping enabledhcp snooping trusted#interface GigabitEthernet0/0/2dhcp snooping enabledhcp snooping alarm untrust-reply enabledhcp snooping alarm untrust-reply threshold 120在端口下配置dhcp snooping 后默认成为untrusted端口1.2配置防止改变CHADDR 值的DoS 攻击示例如果攻击者改变的不是数据帧头部的源MAC，而是通过改变DHCP 报文中的CHADDR （Client Hardware Address）值来不断申请IP 地址，而S3700 仅根据数据帧头部的源MAC 来判断该报文是否合法，那么MAC 地址限制不能完全起作用，这样的攻击报文还是可以被正常转发。
为了避免受到攻击者改变CHADDR 值的攻击，可以在S3700 上配置DHCP Snooping 功能，检查DHCP Request 报文中CHADDR 字段。
如果该字段跟数据帧头部的源MAC 相匹配，转发报文；否则，丢弃报文Switch 应用在用户网络和ISP 的二层网络之间，为防止攻击者通过改变CHADDR 值进行DoS 攻击，要求在Switch 上应用DHCP Snooping 功能。
检查DHCPRequest 报文中CHADDR 字段，如果该字段跟数据帧头部的源MAC 相匹配，便转发报文；否则丢弃报文。
华为交换机配置DHCP Snooping功能
配置DHCP Snooping功能方法一：（vlan视图）[Quidway]dhcp enable------使能全局DHCP Snooping功能[Quidway]dhcp snooping enable[Quidway]vlan 10---------------用户所属的vlan[Quidway-vlan10]dhcp snooping enable[Quidway-vlan10]dhcp snooping trusted interface GigabitEthernet0/0/16-----------上行接server的端口配置为信任端口方法二：<Quidway> system-view[Quidway] dhcp enable[Quidway] dhcp snooping enable-----使能全局DHCP Snooping功能。
[Quidway] interface gigabitethernet 0/0/2[Quidway-GigabitEthernet0/0/2] dhcp snooping enable---------所有接口下使能DHCP Snooping 功能（闲麻烦可以把这些端口加入到一个端口组来操作，见下面）[Quidway-GigabitEthernet0/0/2] quit2.配置接口的Trusted/Untrusted模式# 配置DHCP Server侧的接口为Trusted模式。
[Quidway] interface gigabitethernet 0/0/1---------DHCP Server侧的接口[Quidway-GigabitEthernet0/0/1] dhcp snooping trusted[Quidway-GigabitEthernet0/0/1]dhcp snooping enable[Quidway-GigabitEthernet0/0/1] quit端口组操作：# 将以太网端口GigabitEthernet 0/0/1加入端口组portgroup1。
华为交换机DHCPsnooping配置教程
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
20-DHCP命令
DHCP 目录目录第1章 DHCP Snooping配置命令..........................................................................................1-11.1 DHCP Snooping配置命令.................................................................................................1-11.1.1 dhcp-snooping.........................................................................................................1-11.1.2 dhcp-snooping information enable..........................................................................1-21.1.3 dhcp-snooping information format...........................................................................1-21.1.4 dhcp-snooping information packet-format...............................................................1-31.1.5 dhcp-snooping information remote-id.....................................................................1-41.1.6 dhcp-snooping information strategy........................................................................1-41.1.7 dhcp-snooping information vlan circuit-id................................................................1-51.1.8 dhcp-snooping information vlan remote-id..............................................................1-61.1.9 dhcp-snooping trust.................................................................................................1-71.1.10 display dhcp-snooping..........................................................................................1-81.1.11 display dhcp-snooping trust..................................................................................1-91.1.12 display ip source static binding...........................................................................1-101.1.13 ip check source ip-address.................................................................................1-101.1.14 ip source static binding........................................................................................1-11第2章 DHCP报文限速配置...................................................................................................2-12.1 配置DHCP报文限速.........................................................................................................2-12.1.1 dhcp protective-down recover enable.....................................................................2-12.1.2 dhcp protective-down recover interval....................................................................2-22.1.3 dhcp rate-limit..........................................................................................................2-22.1.4 dhcp rate-limit enable..............................................................................................2-3第3章 DHCP/BOOTP客户端配置.........................................................................................3-13.1 DHCP客户端配置命令.......................................................................................................3-13.1.1 display dhcp client...................................................................................................3-13.1.2 ip address dhcp-alloc..............................................................................................3-23.2 BOOTP客户端配置命令....................................................................................................3-33.2.1 display bootp client..................................................................................................3-33.2.2 ip address bootp-alloc.............................................................................................3-4第1章 DHCP Snooping配置命令1.1 DHCP Snooping配置命令1.1.1 dhcp-snooping【命令】dhcp-snoopingundo dhcp-snooping【视图】系统视图【参数】无【描述】dhcp-snooping命令用来开启交换机DHCP Snooping功能。
华为交换机DHCPSNOOPING功能使用案例解析
[L:315]Interface(src:Eth0/0/1 dst:Eth0/0/1) ,vlan(O/I:1/0 pkt:0), mac(client:c454-4400-3f71 src:c454-4400-3f71 dst:ffff-ffff-ffff),port(src:68 dst:67)
Ping网关测试不通
手动添加一个user-bind表项测试
[Quidway]user-bind static ip-address 192.168.0.250 mac-address c454-4400-3f71
可以ping通网关
得出结论：
如果一个网段中有部分预留的IP地址要使用的话，必须手动添加user-bind表项才行，如果是DHCP获取的IP地址可以自动的生产user-bind表项，不用添加，总之dhcp snooping + user-bind是一个非常好的功能，再也不用担心下面接入交换机上乱接小路由器的lan口而担心了！哈哈！
1、dhcp snooping测试拓扑（一）
2、dhcp snooping测试概述（一）
1.提供上行方向两个DHCP源，其中S2700的24号端口开启dhcp snooping功能并且连接的dhcp源设置为信任。
2.S2700的23好端口开启dhcp snooping功能，并且连接的dhcp源设置为不信任（默认情况下为不信任）
10、测试配置
#
dhcp enable
dhcp snooping enable
#
interface Ethernet0/0/1
s2000-hi操作手册(V1.02)15-DHCP-Snooping操作
DHCP-Snooping 目录目录第1章 DHCP-Snooping配置.................................................................................................1-11.1 DHCP-Snooping简介........................................................................................................1-11.1.1 DHCP-Snooping工作原理......................................................................................1-11.1.2 DHCP-Snooping表项的更新...................................................................................1-21.2 DHCP-Snooping配置........................................................................................................1-31.2.1 开启DHCP-Snooping功能......................................................................................1-31.3 DHCP-Snooping显示和维护.............................................................................................1-3第1章 DHCP-Snooping配置1.1 DHCP-Snooping简介1.1.1 DHCP-Snooping工作原理出于安全性的考虑，网络管理员可能需要记录用户上网时所用的IP地址，确认用户从DHCP Server获取的IP地址和用户主机的MAC地址的对应关系。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping 基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
缺省情况下设备使能DHCP Snooping功能之后将允许该用户上线，并刷新DHCP Snooping绑定表。
但是在某些场景中，这样的处理方式存在安全风险，比如网络中存在攻击者仿冒合法用户发送DHCP Discover报文，最终导致DHCP Snooping绑定表被刷新，合法用户网络访问中断。
此时需要去使能DHCP Snooping用户位置迁移功能，丢弃DHCP Snooping 绑定表中已存在的用户（用户MAC信息存在于DHCP Snooping绑定表中）从其他接口发送来的DHCP Discover报文。
[Huawei]undo dhcp snooping user-transfer enable4、配置ARP与DHCP Snooping的联动功能DHCP Snooping设备在收到DHCP用户发出的DHCP Release报文时将会删除该用户对应的绑定表项，但若用户发生了异常下线而无法发出DHCP Release 报文时，DHCP Snooping设备将不能够及时的删除该DHCP用户对应的绑定表。
使能ARP与DHCP Snooping的联动功能，如果DHCP Snooping表项中的IP地址对应的ARP表项达到老化时间，则DHCP Snooping设备会对该IP地址进行ARP探测，如果在规定的探测次数探测不到用户，设备将删除用户对应的ARP 表项。
之后，设备将会再次按规定的探测次数对该IP地址进行ARP探测，如果最后仍不能够探测到用户，则设备将会删除该用户对应的绑定表项。
只有设备作为DHCP Relay时，才支持ARP与DHCP Snooping的联动功能。
[Huawei]arp dhcp-snooping-detect enable5、配置用户下线后及时清除对应MAC表项功能当某一DHCP用户下线时，设备上其对应的动态MAC表项还未达到老化时间，则设备在接收到来自网络侧以该用户IP地址为目的地址的报文时，将继续根据动态MAC表项转发此报文。
这种无效的报文处理在一定程度上将会降低设备的性能。
设备在接收到DHCP用户下线时发送DHCP Release报文后，将会立刻删除用户对应的DHCP Snooping绑定表项。
利用这种特性，使能当DHCP Snooping 动态表项清除时移除对应用户的MAC表项功能，则当用户下线时，设备将会及时的移除用户的MAC表项。
[Huawei]dhcp snooping user-offline remove mac-address6、配置丢弃GIADDR字段非零的DHCP报文DHCP报文中的GIADDR（Gateway Ip Address）字段记录了DHCP报文经过的第一个DHCP Relay的IP地址，当客户端发出DHCP请求时，如果服务器和客户端不在同一个网段，那么第一个DHCP Relay在将DHCP请求报文转发给DHCP 服务器时，会把自己的IP地址填入此字段，DHCP服务器会根据此字段来判断出客户端所在的网段地址，从而选择合适的地址池，为客户端分配该网段的IP地址。
图1 多DHCP中继场景下DHCP报文处理流程（以DHCP Request报文为例）如上图1所示，在为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上（如图中的DHCP Relay1设备）。
故DHCP Snooping设备接收到的DHCP报文中GIADDR字段必然为零，若不为零则该报文为非法报文，设备需丢弃此类报文。
在DHCP中继使能DHCP Snooping场景中，建议配置该功能。
通常情况下，PC发出的DHCP报文中GIADDR字段为零。
在某些情况下，PC发出的DHCP报文中GIADDR字段不为零，可能导致DHCP服务器分配错误的IP 地址。
为了防止PC用户伪造GIADDR字段不为零的DHCP报文申请IP地址，建议配置该功能。
[Huawei]dhcp snooping check dhcp-giaddr enable vlan ?INTEGER<1-4094> Virtual LAN ID或[Huawei-vlan5]dhcp snooping check dhcp-giaddr enable或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-giaddr enable7、使能DHCP Server探测功能在使能DHCP Snooping功能并配置了接口的信任状态之后，设备将能够保证客户端从合法的服务器获取IP地址，这将能够有效的防止DHCP Server仿冒者攻击。
但是此时却不能够定位DHCP Server仿冒者的位置，使得网络中仍然存在着安全隐患。
通过配置DHCP Server探测功能，DHCP Snooping设备将会检查并在日志中记录所有DHCP回应报文中携带的DHCP Server地址与接口等信息，此后网络管理员可根据日志来判定网络中是否存在伪DHCP Server进而对网络进行维护。
[Huawei]dhcp server detect8、防止DHCP报文泛洪攻击在DHCP网络环境中，若存在DHCP用户短时间向设备发送大量的DHCP 报文，将会对设备的性能造成巨大的冲击以致可能会导致设备无常工作。
通过使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能将能够有效防止DHCP报文泛洪攻击。
8.1、使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能[Huawei-vlan3]dhcp snooping check dhcp-rate enable # 接口视图下命令一样或[Huawei]dhcp snooping check dhcp-rate enable ?INTEGER<1-100> Rate value (Unit:pps)alarm Alarmvlan Virtual LAN<cr>8.2、DHCP报文上送DHCP报文处理单元的最大允许速率[Huawei-vlan3]dhcp snooping check dhcp-rate ?INTEGER<1-100> Rate value (Unit:pps)enable Enable[Huawei-vlan3]dhcp snooping check dhcp-rate 808.3、使能当丢弃的DHCP报文数达到告警阈值时的告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate enable8.4、配置接口下被丢弃的DHCP报文的告警阈值[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate threshold ?INTEGER<1-1000> Threshold value (Unit:packets)9、防止仿冒DHCP报文攻击在DHCP网络环境中，若攻击者仿冒合法用户的DHCP Request报文发往DHCP Server，将会导致用户的IP地址租约到期之后不能够及时释放，以致合法用户无法使用该IP地址；若攻击者仿冒合法用户的DHCP Release报文发往DHCP Server，将会导致用户异常下线。
在生成DHCP Snooping绑定表后，设备可根据绑定表项，对DHCP Request 报文或DHCP Release报文进行匹配检查，只有匹配成功的报文设备才将其转发，否则将丢弃。
这将能有效的防止非法用户通过发送伪造DHCP Request或DHCP Release报文冒充合法用户续租或释放IP地址。
9.1、使能对从指定VLAN上送的DHCP报文进行绑定表匹配检查的功能[Huawei]dhcp snooping check dhcp-request enable vlan ?INTEGER<1-4094> Virtual LAN ID或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-request enable9.2、使能与绑定表不匹配而被丢弃的DHCP报文数达到阈值时的DHCP Snooping 告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-request enable9.3、DHCP Snooping丢弃报文数量的告警阈值。