功能和實(shí)例詳解

1、DHCP Snooping功能與實(shí)例詳解一、采用DHCP服務(wù)的常見(jiàn)問(wèn)題架設(shè)DHCP服務(wù)器可以為客戶(hù)端自動(dòng)分配IP地址、掩碼、默認(rèn)網(wǎng)關(guān)、DNS服務(wù)器等網(wǎng)絡(luò)參數(shù)，簡(jiǎn)化了網(wǎng)絡(luò)配置，提高了管理效率。但在DHCP服務(wù)的管理上存在一些問(wèn)題，常見(jiàn)的有： DHCP Server的冒充  DHCP Server的DOS攻擊，如DHCP耗竭攻擊  某些用戶(hù)隨便指定IP地址，造成IP地址沖突  1、DHCP Server的冒充  由于DHCP服務(wù)器和客戶(hù)端之間沒(méi)有認(rèn)證機(jī)制，所以如果在網(wǎng)絡(luò)上隨意添加一臺(tái)DHCP服務(wù)器，它就可以為客戶(hù)端分配

2、IP地址以及其他網(wǎng)絡(luò)參數(shù)。只要讓該DHCP服務(wù)器分配錯(cuò)誤的IP地址和其他網(wǎng)絡(luò)參數(shù)，那就會(huì)對(duì)網(wǎng)絡(luò)造成非常大的危害。  2、DHCP Server的拒絕服務(wù)攻擊通常DHCP服務(wù)器通過(guò)檢查客戶(hù)端發(fā)送的DHCP請(qǐng)求報(bào)文中的CHADDR（也就是Client MAC address）字段來(lái)判斷客戶(hù)端的MAC地址。正常情況下該CHADDR字段和發(fā)送請(qǐng)求報(bào)文的客戶(hù)端真實(shí)的MAC地址是相同的。攻擊者可以利用偽造MAC的方式發(fā)送DHCP請(qǐng)求，但這種攻擊可以使用Cisco 交換機(jī)的端口安全特性來(lái)防止。端口安全特性（Port Security）可以限制每個(gè)端口只使用唯一的MAC地址。但是如果攻擊者

3、不修改DHCP請(qǐng)求報(bào)文的源MAC地址，而是修改DHCP報(bào)文中的CHADDR字段來(lái)實(shí)施攻擊，那端口安全就不起作用了。由于DHCP服務(wù)器認(rèn)為不同的CHADDR值表示請(qǐng)求來(lái)自不同的客戶(hù)端，所以攻擊者可以通過(guò)大量發(fā)送偽造CHADDR的DHCP請(qǐng)求，導(dǎo)致DHCP服務(wù)器上的地址池被耗盡，從而無(wú)法為其他正常用戶(hù)提供網(wǎng)絡(luò)地址，這是一種DHCP耗竭攻擊。DHCP耗竭攻擊可以是純粹的DOS攻擊，也可以與偽造的DHCP服務(wù)器配合使用。當(dāng)正常的DHCP服務(wù)器癱瘓時(shí)，攻擊者就可以建立偽造的DHCP服務(wù)器來(lái)為局域網(wǎng)中的客戶(hù)端提供地址，使它們將信息轉(zhuǎn)發(fā)給準(zhǔn)備截取的惡意計(jì)算機(jī)。甚至即使DHCP請(qǐng)求報(bào)文的源MAC地址和CHAD

4、DR字段都是正確的，但由于DHCP請(qǐng)求報(bào)文是廣播報(bào)文，如果大量發(fā)送的話(huà)也會(huì)耗盡網(wǎng)絡(luò)帶寬，形成另一種拒絕服務(wù)攻擊。  3、客戶(hù)端隨意指定IP地址  客戶(hù)端并非一定要使用DHCP服務(wù)，它可以通過(guò)靜態(tài)指定的方式來(lái)設(shè)置IP地址。如果隨便指定的話(huà)，將會(huì)大大提高網(wǎng)絡(luò)IP地址沖突的可能性。二、DHCP Snooping技術(shù)介紹DHCP監(jiān)聽(tīng)（DHCP Snooping）是一種DHCP安全特性。Cisco交換機(jī)支持在每個(gè)VLAN基礎(chǔ)上啟用DHCP監(jiān)聽(tīng)特性。通過(guò)這種特性，交換機(jī)能夠攔截第二層VLAN域內(nèi)的所有DHCP報(bào)文。DHCP監(jiān)聽(tīng)將交換機(jī)端口劃分為兩類(lèi)： &#

5、160;非信任端口：通常為連接終端設(shè)備的端口，如PC，網(wǎng)絡(luò)打印機(jī)等  信任端口：連接合法DHCP服務(wù)器的端口或者連接匯聚交換機(jī)的上行端口通過(guò)開(kāi)啟DHCP監(jiān)聽(tīng)特性，交換機(jī)限制用戶(hù)端口（非信任端口）只能夠發(fā)送DHCP請(qǐng)求，丟棄來(lái)自用戶(hù)端口的所有其它DHCP報(bào)文，例如DHCP Offer報(bào)文等。而且，并非所有來(lái)自用戶(hù)端口的DHCP請(qǐng)求都被允許通過(guò)，交換機(jī)還會(huì)比較DHCP 請(qǐng)求報(bào)文的（報(bào)文頭里的）源MAC地址和（報(bào)文內(nèi)容里的）DHCP客戶(hù)機(jī)的硬件地址（即CHADDR字段），只有這兩者相同的請(qǐng)求報(bào)文才會(huì)被轉(zhuǎn)發(fā)，否則將被丟棄。這樣就防止了DHCP耗竭攻擊。信任端口可以接收所有的DHCP

6、報(bào)文。通過(guò)只將交換機(jī)連接到合法DHCP服務(wù)器的端口設(shè)置為信任端口，其他端口設(shè)置為非信任端口，就可以防止用戶(hù)偽造DHCP服務(wù)器來(lái)攻擊網(wǎng)絡(luò)。DHCP監(jiān)聽(tīng)特性還可以對(duì)端口的DHCP報(bào)文進(jìn)行限速。通過(guò)在每個(gè)非信任端口下進(jìn)行限速，將可以阻止合法DHCP請(qǐng)求報(bào)文的廣播攻擊。DHCP監(jiān)聽(tīng)還有一個(gè)非常重要的作用就是建立一張DHCP監(jiān)聽(tīng)綁定表（DHCP Snooping Binding）。一旦一個(gè)連接在非信任端口的客戶(hù)端獲得一個(gè)合法的DHCP Offer，交換機(jī)就會(huì)自動(dòng)在DHCP監(jiān)聽(tīng)綁定表里添加一個(gè)綁定條目，內(nèi)容包括了該非信任端口的客戶(hù)端IP地址、MAC地址、端口號(hào)、VLAN編號(hào)、租期等信息。如：Switch#

7、show ip dhcp snooping bindingMacAddressIpAddressLease(sec) TypeVLANInterface- - - - -00:0F:1F:C5:10:08 31 682463 dhcp-snooping 10 FastEthernet0/1這張DHCP監(jiān)聽(tīng)綁定表為進(jìn)一步部署IP源防護(hù)（IPSG）和動(dòng)態(tài)ARP檢測(cè)（DAI）提供了依據(jù)。說(shuō)明：  I. 非信任端口只允許客戶(hù)端的DHCP請(qǐng)求報(bào)文通過(guò)，這里只是相對(duì)于DHCP報(bào)文來(lái)說(shuō)的。其他非DHCP報(bào)文還是可以正常轉(zhuǎn)發(fā)的。這就表示客戶(hù)端可以以靜態(tài)指定

8、IP地址的方式通過(guò)非信任端口接入網(wǎng)絡(luò)。由于靜態(tài)客戶(hù)端不會(huì)發(fā)送DHCP報(bào)文，所以DHCP監(jiān)聽(tīng)綁定表里也不會(huì)有該靜態(tài)客戶(hù)端的記錄。信任端口的客戶(hù)端信息不會(huì)被記錄到DHCP監(jiān)聽(tīng)綁定表里。如果有一客戶(hù)端連接到了一個(gè)信任端口，即使它是通過(guò)正常的DHCP方式獲得IP地址，DHCP監(jiān)聽(tīng)綁定表里也不有該客戶(hù)端的記錄。如果要求客戶(hù)端只能以動(dòng)態(tài)獲得IP的方式接入網(wǎng)絡(luò)，則必須借助于IPSG和DAI技術(shù)。  II.交換機(jī)為了獲得高速轉(zhuǎn)發(fā)，通常只檢查報(bào)文的二層幀頭，獲得目標(biāo)MAC地址后直接轉(zhuǎn)發(fā)，不會(huì)去檢查報(bào)文的內(nèi)容。而DHCP監(jiān)聽(tīng)本質(zhì)上就是開(kāi)啟交換機(jī)對(duì)DHCP報(bào)文的內(nèi)容部分的檢查，DHCP報(bào)文不再只

9、是被檢查幀頭了。  III. DHCP監(jiān)聽(tīng)綁定表不僅用于防御DHCP攻擊，還為后續(xù)的IPSG和DAI技術(shù)提供動(dòng)態(tài)數(shù)據(jù)庫(kù)支持。  IV. DHCP監(jiān)聽(tīng)綁定表里的Lease列就是每個(gè)客戶(hù)端對(duì)應(yīng)的DHCP租約時(shí)間。當(dāng)客戶(hù)端離開(kāi)網(wǎng)絡(luò)后，該條目并不會(huì)立即消失。當(dāng)客戶(hù)端再次接入網(wǎng)絡(luò)，重新發(fā)起DHCP請(qǐng)求以后，相應(yīng)的條目?jī)?nèi)容就會(huì)被更新。如上面的00F.1FC5.1008這個(gè)客戶(hù)端原本插在Fa0/1端口，現(xiàn)在插在Fa0/3端口，相應(yīng)的記錄在它再次發(fā)送DHCP請(qǐng)求并獲得地址后會(huì)更新為：Switch#show ip dhcp snooping bindingorSwitch

10、#show ip source bindingMacAddress IpAddressLease(sec) Type VLAN Interface- - - -00:0F:1F:C5:10:08 31 691023 dhcp-snooping 10 FastEthernet0/3  V.當(dāng)交換機(jī)收到一個(gè)DHCPDECLINE或DHCPRELEASE廣播報(bào)文，并且報(bào)文頭的源MAC地址存在于DHCP監(jiān)聽(tīng)綁定表的一個(gè)條目中。但是報(bào)文的實(shí)際接收端口與綁定表?xiàng)l目中的端口字段不一致時(shí)，該報(bào)文將被丟棄。    DHCPREL

11、EASE報(bào)文：此報(bào)文是客戶(hù)端主動(dòng)釋放IP 地址（如Windows 客戶(hù)端使用ipconfig/release），當(dāng)DHCP服務(wù)器收到此報(bào)文后就可以收回IP地址，分配給其他的客戶(hù)端了    DHCPDECLINE報(bào)文：當(dāng)客戶(hù)端發(fā)現(xiàn)DHCP服務(wù)器分配給它的IP地址無(wú)法使用（如IP地址發(fā)生沖突）時(shí)，將發(fā)出此報(bào)文讓DHCP服務(wù)器禁止使用這次分配的IP地址。    VI. DHCP監(jiān)聽(tīng)綁定表中的條目可以手工添加。    VII. DHCP監(jiān)聽(tīng)綁定表在設(shè)備重啟后會(huì)丟失，需要重新綁定，但可以通過(guò)設(shè)置將綁定表保存在flash或者tftp/ftp服務(wù)器

12、上，待設(shè)備重啟后直接讀取，而不需要客戶(hù)端再次進(jìn)行綁定    VIII. 當(dāng)前主流的Cisco交換機(jī)基本都支持DHCP Snooping功能。三、DHCP Option 82當(dāng)DHCP服務(wù)器和客戶(hù)端不在同一個(gè)子網(wǎng)內(nèi)時(shí)，客戶(hù)端要想從DHCP服務(wù)器上分配到IP地址，就必須由DHCP中繼代理（DHCP Relay Agent）來(lái)轉(zhuǎn)發(fā)DHCP請(qǐng)求包。DHCP中繼代理將客戶(hù)端的DHCP報(bào)文轉(zhuǎn)發(fā)到DHCP服務(wù)器之前，可以插入一些選項(xiàng)信息，以便DHCP服務(wù)器能更精確的得知客戶(hù)端的信息，從而能更靈活的按相應(yīng)的策略分配IP地址和其他參數(shù)。這個(gè)選項(xiàng)被稱(chēng)為：DHCP relay agen

13、t information option（中繼代理信息選項(xiàng)），選項(xiàng)號(hào)為82，故又稱(chēng)為option 82，相關(guān)標(biāo)準(zhǔn)文檔為RFC3046。Option 82是對(duì)DHCP選項(xiàng)的擴(kuò)展應(yīng)用。選項(xiàng)82只是一種應(yīng)用擴(kuò)展，是否攜帶選項(xiàng)82并不會(huì)影響DHCP原有的應(yīng)用。另外還要看DHCP服務(wù)器是否支持選項(xiàng)82。不支持選項(xiàng)82的DHCP服務(wù)器接收到插入了選項(xiàng)82的報(bào)文，或者支持選項(xiàng)82的DHCP服務(wù)器接收到了沒(méi)有插入選項(xiàng)82的報(bào)文，這兩種情況都不會(huì)對(duì)原有的基本的DHCP服務(wù)造成影響。要想支持選項(xiàng)82帶來(lái)的擴(kuò)展應(yīng)用，則DHCP服務(wù)器本身必須支持選項(xiàng)82以及收到的DHCP報(bào)文必須被插入選項(xiàng)82信息。從非信任端口收到D

14、HCP請(qǐng)求報(bào)文，不管DHCP服務(wù)器和客戶(hù)端是否處于同一子網(wǎng)，開(kāi)啟了DHCP監(jiān)聽(tīng)功能的Cisco交換機(jī)都可以選擇是否對(duì)其插入選項(xiàng)82信息。默認(rèn)情況下，交換機(jī)將對(duì)從非信任端口接收到的DHCP請(qǐng)求報(bào)文插入選項(xiàng)82信息。當(dāng)一臺(tái)開(kāi)啟DHCP監(jiān)聽(tīng)的匯聚交換機(jī)和一臺(tái)插入了選項(xiàng)82信息的邊界交換機(jī)（接入交換機(jī)）相連時(shí)：  如果邊界交換機(jī)是連接到匯聚交換機(jī)的信任端口，那么匯聚交換機(jī)會(huì)接收從信任端口收到的插入選項(xiàng)82的DHCP報(bào)文信息，但是匯聚交換機(jī)不會(huì)為這些信息建立DHCP監(jiān)聽(tīng)綁定表?xiàng)l目。  如果邊界交換機(jī)是連接到匯聚交換機(jī)的非信任端口，那么匯聚交換機(jī)會(huì)丟棄從該非信任端口

15、收到的插入了選項(xiàng)82的DHCP報(bào)文信息。但在IOS 12.2（25）SE版本之后，匯聚交換機(jī)可以通過(guò)在全局模式下配置一條ip dhcp snooping information allow-untrusted命令。這樣匯聚交換機(jī)就會(huì)接收從邊界交換機(jī)發(fā)來(lái)的插入選項(xiàng)82的DHCP報(bào)文信息，并且也為這些信息建立DHCP監(jiān)聽(tīng)綁定表?xiàng)l目。    在配置匯聚交換機(jī)下聯(lián)口時(shí)，將根據(jù)從邊界交換機(jī)發(fā)送過(guò)來(lái)的數(shù)據(jù)能否被信任而設(shè)置為信任或者非信任端口。四、DHCP Snooping的配置Switch(config)#ip dhcp snooping   /打開(kāi)DHC

16、P Snooping功能Switch(config)#ip dhcp snooping vlan 10   /設(shè)置DHCP Snooping功能將作用于哪些VLANSwitch(config)#ip dhcp snooping verify mac-address/檢測(cè)非信任端口收到的DHCP請(qǐng)求報(bào)文的源MAC和CHADDR字段是否相同，以防止DHCP耗竭攻擊，該功能默認(rèn)即為開(kāi)啟Switch(config-if)#ip dhcp snooping trust   /配置接口為DHCP監(jiān)聽(tīng)特性的信任接口，所有接口默認(rèn)為非信任接

17、口Switch(config-if)#ip dhcp snooping limit rate 15  /限制非信任端口的DHCP報(bào)文速率為每秒15個(gè)包（默認(rèn)即為每秒15個(gè)包）如果不配該語(yǔ)句，則show ip dhcp snooping的結(jié)果里將不列出沒(méi)有該語(yǔ)句的端口，可選速率范圍為1-2048建議：在配置了端口的DHCP報(bào)文限速之后，最好配置以下兩條命令Switch(config)#errdisable recovery cause dhcp-rate-limit/使由于DHCP報(bào)文限速原因而被禁用的端口能自動(dòng)從err-disable狀態(tài)恢復(fù)Switch(config)#e

18、rrdisable recovery interval 30 /設(shè)置恢復(fù)時(shí)間；端口被置為err-disable狀態(tài)后，經(jīng)過(guò)30秒時(shí)間才能恢復(fù)Switch(config)#ip dhcp snooping information option /設(shè)置交換機(jī)是否為非信任端口收到的DHCP報(bào)文插入Option 82，默認(rèn)即為開(kāi)啟狀態(tài)Switch(config)#ip dhcp snooping information option allow-untrusted /設(shè)置匯聚交換機(jī)將接收從非信任端口收到的接入交換機(jī)發(fā)來(lái)的帶有選項(xiàng)82的DHCP報(bào)文Switch#ip dhc

19、p snooping binding 000f.1fc5.1008 vlan 10 31 interface fa0/2 expiry 692000  /特權(quán)模式命令；手工添加一條DHCP監(jiān)聽(tīng)綁定條目；expiry為時(shí)間值，即為監(jiān)聽(tīng)綁定表中的lease（租期）Switch(config)#ip dhcp snooping database flash:dhcp_snooping.db/將DHCP監(jiān)聽(tīng)綁定表保存在flash中，文件名為dhcp_snooping.dbSwitch(config)#ip dhcp snooping database t&#

20、160;/將DHCP監(jiān)聽(tīng)綁定表保存到tftp服務(wù)器；為tftp服務(wù)器地址，必須事先確定可達(dá)。URL中的Switch是tftp服務(wù)器下一個(gè)文件夾；保存后的文件名為dhcp_snooping.db，當(dāng)更改保存位置后會(huì)立即執(zhí)行“寫(xiě)”操作。Switch(config)#ip dhcp snooping database write-delay 30/指DHCP監(jiān)聽(tīng)綁定表發(fā)生更新后，等待30秒，再寫(xiě)入文件，默認(rèn)為300秒；可選范圍為15-86400秒Switch(config)#ip dhcp snooping database timeout 60/指DHCP監(jiān)聽(tīng)綁定表嘗試寫(xiě)入操

21、作失敗后，重新嘗試寫(xiě)入操作，直到60秒后停止嘗試。默認(rèn)為300秒；可選范圍為0-86400秒說(shuō)明：實(shí)際上當(dāng)DHCP監(jiān)聽(tīng)綁定表發(fā)生改變時(shí)會(huì)先等待write-delay的時(shí)間，然后執(zhí)行寫(xiě)入操作，如果寫(xiě)入操作失?。ū热鐃ftp服務(wù)器不可達(dá)），接著就等待timeout的時(shí)間，在此時(shí)間段內(nèi)不斷重試。在timeout時(shí)間過(guò)后，停止寫(xiě)入嘗試。但由于監(jiān)聽(tīng)綁定表已經(jīng)發(fā)生了改變，因此重新開(kāi)始等待write-delay時(shí)間執(zhí)行寫(xiě)入操作不斷循環(huán)，直到寫(xiě)入操作成功。Switch#renew ip dhcp snooping database flash:dhcp_snooping.db/特權(quán)級(jí)命令；立即從保存好的數(shù)據(jù)庫(kù)

22、文件中讀取DHCP監(jiān)聽(tīng)綁定表。五、顯示DHCP Snooping的狀態(tài)Switch#show ip dhcp snooping   /顯示當(dāng)前DHCP監(jiān)聽(tīng)的各選項(xiàng)和各端口的配置情況Switch#show ip dhcp snooping binding/顯示當(dāng)前的DHCP監(jiān)聽(tīng)綁定表Switch#show ip dhcp snooping database /顯示DHCP監(jiān)聽(tīng)綁定數(shù)據(jù)庫(kù)的相關(guān)信息Switch#show ip dhcp snooping statistics/顯示DHCP監(jiān)聽(tīng)的工作統(tǒng)計(jì)Switch#clear ip dhcp snooping

23、 binding /清除DHCP監(jiān)聽(tīng)綁定表；注意：本命令無(wú)法對(duì)單一條目進(jìn)行清除，只能清除所有條目Switch#clear ip dhcp snooping database statistics/清空DHCP監(jiān)聽(tīng)綁定數(shù)據(jù)庫(kù)的計(jì)數(shù)器Switch#clear ip dhcp snooping statistics  /清空DHCP監(jiān)聽(tīng)的工作統(tǒng)計(jì)計(jì)數(shù)器六、DHCP Snooping的實(shí)例1、單交換機(jī)（DHCP服務(wù)器和DHCP客戶(hù)端位于同一VLAN） 環(huán)境：Windows2003 DHCP服務(wù)器和客戶(hù)端都位于vlan 10；服務(wù)器接在fa0/1，客戶(hù)端接在fa0

24、/22960交換機(jī)相關(guān)配置：ip dhcp snooping vlan 10ip dhcp snooping!interface FastEthernet0/1description : Connect to Win2003 DHCP Serverswitchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping trust!interface FastEthernet0/2description : Connect to DHCP Clientswitchport access vlan

25、10switchport mode accessspanning-tree portfastip dhcp snooping limit rate 15說(shuō)明：  本例中交換機(jī)對(duì)于客戶(hù)端的DHCP 請(qǐng)求報(bào)文將插入選項(xiàng)82 信息；也可以通過(guò)配置no ip dhcp snooping information option命令選擇不插入選項(xiàng)82信息。兩種情況都可以。  客戶(hù)端端口推薦配置spanning-tree portfast命令，使得該端口不參與生成數(shù)計(jì)算，節(jié)省端口啟動(dòng)時(shí)間，防止可能因?yàn)槎丝趩?dòng)時(shí)間過(guò)長(zhǎng)導(dǎo)致客戶(hù)端得不到IP地址。  開(kāi)啟

26、DHCP監(jiān)聽(tīng)特性的vlan并不需要該vlan的三層接口被創(chuàng)建。2、單交換機(jī)（DHCP服務(wù)器和DHCP客戶(hù)端位于同一VLAN）    環(huán)境：Cisco IOS DHCP服務(wù)器（2821路由器）和PC客戶(hù)端都位于vlan 10；路由器接在交換機(jī)的fa0/1，客戶(hù)端接在fa0/2    2960交換機(jī)相關(guān)配置：ip dhcp snooping vlan 10ip dhcp snooping!interface FastEthernet0/1description : Connect to IOS DHCP Server C2821_Gi0/0swit

27、chport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping trust!interface FastEthernet0/2description : Connect to DHCP Clientswitchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping limit rate 15    2821路由器相關(guān)配置：ip dhcp excluded-address 1

28、 !ip dhcp pool testnetwork default-router lease 8!interface GigabitEthernet0/0description : Connect to C2960_Fa0/1ip dhcp relay information trusted說(shuō)明：  I、需要注意的是路由器連接到交換機(jī)的端口需要配置ip dhcp relay information trusted，否則客戶(hù)端將無(wú)法得到IP地址。這是因?yàn)?/p>

29、交換機(jī)配置了（默認(rèn)情況）ip dhcp snooping information option，此時(shí)交換機(jī)會(huì)在客戶(hù)端發(fā)出的DHCP請(qǐng)求報(bào)文中插入選項(xiàng)82信息。另一方面由于DHCP服務(wù)器（這里指Cisco IOS DHCP服務(wù)器）與客戶(hù)端處于同一個(gè)VLAN中，所以請(qǐng)求實(shí)際上并沒(méi)有經(jīng)過(guò)DHCP中繼代理。對(duì)于Cisco IOS DHCP服務(wù)器來(lái)說(shuō)，如果它收到的DHCP請(qǐng)求被插入了選項(xiàng)82信息，那么它會(huì)認(rèn)為這是一個(gè)從DHCP中繼代理過(guò)來(lái)的請(qǐng)求報(bào)文，但是它檢查了該報(bào)文的giaddr字段卻發(fā)現(xiàn)是，而不是一個(gè)有效的IP地址（DHCP請(qǐng)求報(bào)文中的giaddr字段是該報(bào)文經(jīng)過(guò)的第一個(gè)DHCP中繼代

30、理的IP地址，具體請(qǐng)參考DHCP報(bào)文格式），因此該報(bào)文被認(rèn)為“非法”，所以將被丟棄。可以參考路由器上的DHCP的debug過(guò)程。Cisco IOS里有一個(gè)命令，專(zhuān)門(mén)用來(lái)處理這類(lèi)DHCP請(qǐng)求報(bào)文：ip dhcp relay information trusted（接口命令）或者ip dhcp relay information trust-all（全局命令，對(duì)所有路由器接口都有效）；這兩條命令的作用就是允許被插入了選項(xiàng)82信息，但其giaddr字段為的DHCP請(qǐng)求報(bào)文通過(guò)。  II、如果交換機(jī)不插入選項(xiàng)82信息，即配置了no ip dhcp relay info

31、rmation trusted，那么就不會(huì)出現(xiàn)客戶(hù)端無(wú)法得到IP地址的情況，路由器也不需要配置ip dhcp relay information trusted命令。  III、Windows DHCP服務(wù)器應(yīng)該沒(méi)有檢查這類(lèi)DHCP請(qǐng)求的機(jī)制，所以上一個(gè)實(shí)例中不論交換機(jī)是否插入選項(xiàng)82信息，客戶(hù)端總是可以得到IP地址。3、單交換機(jī)（DHCP服務(wù)器和DHCP客戶(hù)端位于不同VLAN）環(huán)境：Cisco IOS DHCP服務(wù)器（2821路由器）的IP地址為，位于vlan 2；DHCP客戶(hù)端位于vlan 10；交換機(jī)為3560，路由器接在fa0/1，客戶(hù)端接在f

32、a0/2。    3560交換機(jī)相關(guān)配置：ip routing！ip dhcp snooping vlan 2,10ip dhcp snooping!interface FastEthernet0/1description : Connect to IOS DHCP Server C2821_Gi0/0switchport access vlan 2switchport mode accessspanning-tree portfastip dhcp snooping trust!interface FastEthernet0/2description : Connect

33、to DHCP Clientswitchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping limit rate 15!interface Vlan2ip address !interface Vlan10ip address     2821路由器相關(guān)配置：說(shuō)明：本例中的路由器不需要配置ip dhcp relay information trusted命令，因?yàn)閺慕?/p>

34、換機(jī)過(guò)來(lái)的DHCP請(qǐng)求經(jīng)過(guò)了中繼代理，其報(bào)文中的giaddr字段為，而不是，是默認(rèn)正常的DHCP請(qǐng)求報(bào)文。4、多交換機(jī)環(huán)境（DHCP服務(wù)器和DHCP客戶(hù)端位于不同VLAN）環(huán)境：2611路由器作為DHCP服務(wù)器，IP地址為，位于vlan 2；PC位于vlan 10； 路由器接在3560的Gi0/2，PC接2960的fa0/1口，兩交換機(jī)互連口都是gi0/1。    3560交換機(jī)相關(guān)配置：ip routing！interface GigabitEthernet0/1description : Connect to

35、C2960_Gi0/1switchport trunk encapsulation dot1qswitchport mode trunk!interface GigabitEthernet0/2description : Connect to IOS DHCP Server C2611_Gi0/0switchport access vlan 2switchport mode accessspanning-tree portfast!interface Vlan2ip address !interface Vlan10ip address 192

36、.168.10.1 ip helper-address ip dhcp relay information trusted    2960交換機(jī)相關(guān)配置：ip dhcp snooping vlan 10ip dhcp snoopinginterface FastEthernet0/1description : Connect to PCswitchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping limit rate

37、15！interface GigabitEthernet0/1description : Connect to C3560_Gi0/1switchport mode trunkip dhcp snooping trust    2611路由器相關(guān)配置：說(shuō)明：本例中3560沒(méi)有開(kāi)啟DHCP監(jiān)聽(tīng)功能，2960開(kāi)啟了該功能。需要注意的是int vlan 10需要配置ip dhcp relay information trusted，理由如同實(shí)例2。   5、多交換機(jī)環(huán)境（DHCP服務(wù)器和DHCP客戶(hù)端位于同一VLAN）環(huán)境：3560交換機(jī)自身作為DHCP服務(wù)器

38、；PC1和PC2都位于vlan 10；PC1接3560的fa0/1口，PC2接2960的fa0/1口；兩交換機(jī)互連口都是gi0/1    3560交換機(jī)相關(guān)配置：ip dhcp excluded-address !ip dhcp pool testnetwork default-router lease 8!ip dhcp snooping vlan 10ip dhcp snooping information option allow-untrustedip dhcp sn

39、ooping!interface FastEthernet0/1description : Connect to PC1switchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping limit rate 15!interface GigabitEthernet0/1description : Connect to C2960_Gi0/1switchport trunk encapsulation dot1qswitchport mode trunkip dhcp snooping li

40、mit rate 360    2960交換機(jī)相關(guān)配置：ip dhcp snooping vlan 10ip dhcp snoopinginterface FastEthernet0/1description : Connect to PC2switchport access vlan 10switchport mode accessspanning-tree portfastip dhcp snooping limit rate 15！interface GigabitEthernet0/1description : Connect to C3560_Gi0/1switc

41、hport mode trunkip dhcp snooping trust說(shuō)明：本例中3560和2960同時(shí)開(kāi)啟了DHCP監(jiān)聽(tīng)功能。從2960過(guò)來(lái)的DHCP請(qǐng)求報(bào)文是已經(jīng)被插入了選項(xiàng)82信息，如果將3560的Gi0/1設(shè)置為信任端口，那么插入了82選項(xiàng)的DHCP請(qǐng)求報(bào)文是允許通過(guò)的，但不會(huì)為其建立DHCP監(jiān)聽(tīng)綁定表。即3560上只有PC1的綁定條目，而沒(méi)有PC2的綁定條目。如果此時(shí)同時(shí)部署DAI，IPSG，由于2960不支持這兩項(xiàng)功能，對(duì)于3560來(lái)說(shuō)，從2960上過(guò)來(lái)的數(shù)據(jù)可能存在IP欺騙和ARP欺騙等攻擊，是不安全的。另一方面，由于3560沒(méi)有PC2的綁定條目，而DAI和IPSG必須依賴(lài)

42、DHCP監(jiān)聽(tīng)綁定表。因此如果需要在3560上再部署DAI或者IPSG，就不能將3560的Gi0/1設(shè)置為信任端口。但是將3560的Gi0/1口設(shè)置為非信任端口以后，默認(rèn)情況下，非信任端口將會(huì)丟棄收到的插入了82選項(xiàng)的DHCP請(qǐng)求報(bào)文。而從2960過(guò)來(lái)的DHCP請(qǐng)求報(bào)文又正好是被插入了選項(xiàng)82信息的。因此必須配置ip dhcp snooping information option allow-untrusted命令，否則3560將丟棄這些DHCP請(qǐng)求報(bào)文，接在2960上的PC2將得不到IP地址。只有配置了該命令以后，3560才會(huì)接收從2960發(fā)送的插入了選項(xiàng)82的DHCP報(bào)文，并為這些信息建立

43、綁定條目。   3560下聯(lián)的Gi0/1口由于是非信任端口，默認(rèn)限速為每秒15個(gè)DHCP請(qǐng)求報(bào)文，如果2960上的所有PC都同時(shí)發(fā)起DHCP請(qǐng)求，可能此端口會(huì)被errdisable掉。這里假設(shè)2960為24口，因此簡(jiǎn)單的設(shè)置限速為24*15=360。2960上聯(lián)的Gi0/1口必須被配置為信任端口，否則將丟棄從3560過(guò)來(lái)的DHCP應(yīng)答報(bào)文，PC2將無(wú)法得到IP地址。C3560#show ip dhcp snoopingSwitch DHCP snooping is enabledDHCP snooping is configured on following VLANs:1

44、0DHCP snooping is operational on following VLANs:10DHCP snooping is configured on the following L3 Interfaces:Insertion of option 82 is enabledcircuit-id format: vlan-mod-portremote-id format: MACOption 82 on untrusted port is allowedVerification of hwaddr field is enabledDHCP snooping trust/rate is

45、 configured on the following Interfaces:Interface Trusted Rate limit (pps)-FastEthernet0/1 no 15GigabitEthernet0/1    no 360C3560#show ip dhcp snooping bindingMacAddress IpAddressLease(sec) Type VLAN Interface- - - -00:0F:1F:C5:10:08 685618 dhcp-snooping 10 FastEther

46、net0/100:0B:DB:08:21:E0 688023 dhcp-snooping10 GigabitEthernet0/1C2960#show ip dhcp snoopingSwitch DHCP snooping is enabledDHCP snooping is configured on following VLANs:10Insertion of option 82 is enabledcircuit-id format: vlan-mod-portremote-id format: MACOption 82 on untrusted port is

47、 not allowedVerification of hwaddr field is enabledInterface Trusted Rate limit (pps)-FastEthernet0/1 no 15GigabitEthernet0/1 yes unlimitedC2960#show ip dhcp snooping bindingMacAddress IpAddress Lease(sec) Type VLAN Interface- - - -00:0B:DB:08:21:E0 6 88023dhcp-snooping 10FastEthernet0/16