号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

中午好，我的网工朋友

对于企业和机构而言，保证内部网络的安全稳定运行不仅是日常运营的基础，更是防止敏感信息泄露、保障业务连续性的关键所在。

随着网络规模的扩大和接入设备种类的增多，未经授权的DHCP服务器可能成为网络中的安全隐患，导致诸如IP地址冲突、中间人攻击等问题。这些问题不仅会降低网络效率，还可能给网络带来严重的安全风险。

在此背景下，网络设备厂商不断推出新的技术和工具来应对日益增长的安全挑战。其中之一便是DHCP Snooping技术。

通过监控并限制局域网内的DHCP请求与响应，DHCP Snooping能够确保只有合法授权的服务器才能分配IP地址，从而提高网络的整体安全性。

今天就来仔细聊聊DHCP Snooping，涨知识的时间到了

今日文章阅读福利：《 网络常见故障排除方法 .ppt 》

说到问题，再给你来份基本故障排障的ppt，这要都看了，你不是网络高手谁是？私信发送暗号“故障”，即可获取资源。

01 DHCP简介

01 DHCP的作用及工作原理

动态主机配置协议（Dynamic Host Configuration Protocol, DHCP）是网络中一种常见的自动分配IP地址及其他网络配置信息的服务协议。

对于大多数用户而言，手动配置每台计算机的IP地址不仅繁琐，而且容易出错。DHCP通过自动化分配IP地址、子网掩码、默认网关以及DNS服务器等信息，简化了网络配置过程，并提高了网络管理的灵活性。

DHCP的工作流程通常包括以下几个阶段：

• 发现（Discover）：客户端发送广播消息到网络，询问是否有可用的DHCP服务器。

• 提供（Offer）：DHCP服务器收到请求后，从可用的地址池中选择一个尚未分配的IP地址，并向客户端发送包含该地址的信息。

• 请求（Request）：客户端接收到提供的IP地址后，会再次广播请求确认使用该地址。

• 确认（Acknowledge）：如果无冲突，DHCP服务器会正式确认客户端使用所分配的IP地址，并设置租期长度。

02 DHCP在局域网中的应用

在企业、学校、酒店等局域网（LAN）环境中，DHCP的应用尤为广泛。由于这类网络通常包含大量的终端设备，手动配置每一台设备的网络参数既不现实也不经济。

通过实施DHCP服务，不仅可以快速地为新加入网络的设备分配IP地址，还能在设备离开网络后回收其地址资源，以供后续使用。

此外，DHCP还支持多种选项，如域名系统（DNS）服务器地址、网络时间协议（NTP）服务器地址等，使得客户端能够自动获取必要的网络服务信息，进一步简化了网络管理的复杂度。

02 DHCP Snooping的概念

01 定义DHCP Snooping

DHCP Snooping是一种增强网络安全性、防止未经授权的DHCP服务器在局域网中活动的技术。

它通过监控和记录所有进出交换机端口的DHCP报文，来确定哪些设备是合法的DHCP客户端或服务器。

DHCP Snooping可以在一定程度上防止因非法DHCP服务器而导致的网络故障，例如IP地址耗尽、地址冲突以及其他相关的安全问题。

02 为何需要DHCP Snooping

随着网络规模的扩大，尤其是无线网络和移动设备的普及，网络中接入的设备数量急剧增加，这也为非法设备充当DHCP服务器提供了可乘之机。

一旦恶意设备成功冒充DHCP服务器，它可以向网络中的其他设备分发错误的配置信息，如错误的网关地址、DNS服务器地址或其他恶意指向的目标，进而引发一系列问题，包括但不限于：

• 网络性能下降：错误的配置可能导致数据包无法正确路由，影响网络性能。

• 中间人攻击（Man-in-the-Middle Attacks）：攻击者可以通过控制网络通信来窃取或篡改数据。

• 服务中断：错误的配置可能导致正常的服务中断，影响用户体验。

为了应对这些问题，网络管理员需要采取有效的措施来验证网络中的DHCP流量。

这就是DHCP Snooping发挥作用的地方，它通过识别和过滤未授权的DHCP消息，确保只有合法的DHCP服务器能够参与网络配置过程。

03 DHCP Snooping的工作原理

01 监听和记录DHCP消息

当启用了DHCP Snooping的交换机检测到来自客户端的DHCP Discover消息时，它会记录这条消息，并将其与发送端口关联起来。

随后，当DHCP服务器回应一个DHCP Offer消息时，交换机会检查该消息的源地址是否与之前记录的合法DHCP服务器地址匹配。只有当源地址正确时，该消息才会被转发给客户端。

02 创建和维护DHCP绑定表

DHCP Snooping的核心功能之一是创建并维护一个动态的DHCP绑定表。这个表记录了客户端的MAC地址、IP地址、租约状态以及对应的交换机端口信息。

每当客户端请求一个新的IP地址或更新现有的租约时，交换机会更新这个表，以反映最新的网络状态。这样的机制有助于跟踪和管理网络中的主机信息，并且在发生异常情况时提供诊断依据。

03 区分信任端口与非信任端口

为了进一步提高网络安全性，DHCP Snooping允许网络管理员定义信任端口（Trusted Ports）和非信任端口（Untrusted Ports）。

信任端口通常是那些连接到已知合法DHCP服务器的端口，而来自非信任端口的所有DHCP响应都会被过滤掉。

这种区分可以帮助防止非法服务器向网络中的设备发送错误的配置信息。

04 配置静态绑定

除了动态学习DHCP客户端信息外，网络管理员还可以手动配置静态绑定条目。

静态绑定是指预先在交换机上定义某些特定MAC地址与IP地址的对应关系，这些条目不会受到DHCP Snooping功能的影响。

这种方式对于确保关键服务器或设备始终获得相同的IP地址非常有用。

04 DHCP Snooping的工作层次

DHCP Snooping主要工作在网络模型中的第二层，即数据链路层。

虽然DHCP协议本身属于第三层（网络层）协议，但DHCP Snooping的功能实现依赖于第二层设备对进出流量的监控。

01 数据链路层的特点

数据链路层负责在物理层之上提供节点间的可靠传输服务。在这个层次，数据被封装成帧，并通过MAC地址进行寻址。

DHCP Snooping利用了交换机在第二层对帧的处理能力，通过监听和分析DHCP报文来决定是否允许这些报文通过。

02 DHCP Snooping与OSI模型的交互

在开放系统互连（OSI）七层模型中，DHCP Snooping的工作主要集中在第二层，但它也与其他层次相互作用：

• 第一层（物理层）：物理层提供了比特流的传输，DHCP Snooping依赖于物理层来确保数据帧能够准确无误地传输。

• 第三层（网络层）：虽然DHCP Snooping本身不直接处理第三层的路由决策，但它确保了网络层协议如IP能够正确地在终端设备之间传递。

• 第四层及以上：DHCP Snooping通过确保正确的DHCP操作，间接支持了高层协议和服务的正常运作。

03 DHCP Snooping对网络架构的影响

由于DHCP Snooping主要作用于第二层，它对网络架构的设计有着重要影响。

网络设计师需要考虑如何合理划分VLAN（虚拟局域网），以及如何配置信任端口来优化DHCP流量的处理。合理的架构设计能够最大化DHCP Snooping带来的安全效益，同时最小化对网络性能的负面影响。

05 DHCP Snooping的配置步骤

为了充分利用DHCP Snooping带来的安全优势，网络管理员需要按照一定的步骤来正确配置这项功能。

以下是一般的配置流程：

01 启用DHCP Snooping功能

首先，需要在支持DHCP Snooping功能的交换机上全局启用此功能。

这通常通过执行类似enable dhcp snooping的命令来完成。启用之后，交换机将开始监听并处理DHCP消息。

02 配置信任端口

并非所有端口都需要处理DHCP流量，因此，网络管理员应当指定哪些端口是信任端口。信任端口通常连接到合法的DHCP服务器或其他网络设备，如路由器。

可以通过命令如set port trust status来配置端口的信任状态。信任端口上的所有DHCP响应都将被允许通过。

03 设置其他相关参数

除了基本的启用和配置信任端口之外，还需要考虑一些其他的配置参数来优化DHCP Snooping的功能：

• 设置老化时间：定义DHCP绑定表项的老化时间，即在没有收到相应客户端的更新请求后，多久之后清除其记录。这可以通过set dhcp snooping aging-time命令来设定。

• 启用DHCP选项验证：某些情况下，可能还需要验证DHCP选项字段中的信息，如DNS服务器地址等，以确保这些信息的准确性。

• 配置静态绑定：对于那些需要固定IP地址的关键设备，可以通过静态绑定来确保它们始终获得相同的地址。使用类似add dhcp static-bind ip-address mac-address interface的命令来添加静态绑定条目。

04 验证配置

完成上述配置步骤后，网络管理员应验证配置的有效性。

这可以通过查看DHCP Snooping的状态和统计信息来实现，确认是否正确记录了客户端信息，并且信任端口上的流量是否如预期那样被处理。

05 监控与维护

最后，持续监控DHCP Snooping的操作，并定期检查配置是否仍然满足当前网络环境的需求。随着网络的变化和发展，可能需要调整DHCP Snooping的相关设置以适应新的安全要求。

原创：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部