第27章DHCPSnooping配置.docVIP

DHCP-SNOOPING配置 nooping功能的使用和配置方法。 本章主要内容： nooping功能简介 DHCP Snooping基本指令描述 nooping配置示例nooping监控和调试nooping功能简介 DHCP Snooping是DHCP的一种安全特性，具有如下功能： １）记录DHCP客户端IP地址与MAC地址的对应关系 出于安全性的考虑，网络管理员可能需要记录用户上网时所用的IP地址，确认用户从DHCP服务器获取的IP地址和用户主机MAC地址的对应关系。 DHCP Snooping通过监听DHCP-REQUEST和信任端口收到的DHCP-ACK广播报文，记录DHCP客户端的MAC地址以及获取到的IP地址。管理员可以通show dhcp-snooping database命令查看DHCP客户端获取的IP地址信息。 2）保证客户端从合法的服务器获取IP地址 在网络中如果有私自架设的DHCP服务器，则可能导致用户得到错误的IP地址。为了使用户能通过合法的DHCP服务器获取IP地址，DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口： 信任端口是与合法的DHCP服务器直接或间接连接的端口。信任端口对接收到的DHCP报文正常转发，从而保证了DHCP客户端获取正确的IP地址。 不信任端口是不与合法的DHCP服务器连接的端口。如果从不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文则会丢弃，从而防止了DHCP客户端获得错误的IP地址。 DHCP Snooping功能在网络中的典型应用如下图的Switch A所示。 图 271 DHCP组网图 DHCP Client与DHCP Server之间的报文交互过程如下图所示。 图 272 DHCP Client与DHCP Server 交互 同时，DHCP Snooping 还支持对Option 82选项的添加、转发和管理。Option82是一个DHCP选项，这个选项用于记录DHCP客户端的位置信息，管理员可以根据这个选项定位DHCP客户端，从而进行一些安全控制，比如限制某个端口或VLAN所能分配的IP地址个数等等。根据DHCP报文类型的不同，对Option 82选项的处理方式也不同： １）当设备接收到DHCP请求报文后，将根据报文中是否包含Option 82以及用户配置的处理策略及填充格式对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。 2）当设备接收到DHCP服务器的响应报文时，如果报文中含有Option 82，则删除Option 82，并转发给DHCP客户端；如果报文中不含有Option 82，则直接转发给DHCP客户端。 DHCP Snooping基本指令描述 命令 描述 配置模式 dhcp-snooping nooping功能 config no dhcp-snooping 关闭DHCP Snooping功能 config dhcp-snooping information enable 开启DHCP Snooping功能的Option 82选项 config dhcp-snooping information disable 关闭DHCP Snooping功能的Option 82选项 config dhcp-snooping information format default Option 82选项使用默认填充模式 config dhcp-snooping information format user-config Option 82选项使用用户配置填充模式 config dhcp-snooping information format remote-id {STRING | default| hostname } *远端ID配置 config dhcp-snooping information policy { drop | keep | replace } *Option 82处理策略配置（默认为replace） config dhcp-snooping database timeout seconds 配置无效绑定表项删除时间(默认为300s) config dhcp-snooping relay-address ip-address *中继地址 config snmp-server enable traps port-shutdown dhcpsp 打开trap开关，当DHCP Snooping功能引起端口shutdown时发送trap告警 config no snmp-server enable traps port-shutdown dhcpsp 关闭tra