如何开启Cisco交换机DHCP Snooping的功能.pdfVIP

如何开启Cisco交换机DHCPSnooping的功能

你还在为开启Cisco交换机DHCPSnooping的功能而烦

恼么?不用担心，接下来是小编为大家收集的开启Cisco交换机

DHCPSnooping的功能方法，欢迎大家阅读：

开启Cisco交换机DHCPSnooping的功能的方法

一、IP地址盗用

IP地址的盗用方法多种多样，其常用方法主要有以下几种：

1、静态修改IP地址

对于任何一个TCP/IP实现来说，IP地址都是其用户配置的

必选项。如果用户在配置TCP/IP或修改TCP/IP配置时，使用的不

是授权分配的IP地址，就形成了IP地址盗用。由于IP地址是一个

逻辑地址，因此无法限制用户对于其主机IP地址的静态修改。

2、成对修改IP-MAC地址

1

对于静态修改IP地址的问题，现在很多单位都采用IP与

MAC绑定技术加以解决。针对绑定技术，IP盗用技术又有了新的发

展，即成对修改IP-MAC地址。现在的一些兼容网卡，其MAC地

址可以使用网卡配置程序进行修改。如果将一台计算机的IP地址和

MAC地址都改为另外一台合法主机的IP地址和MAC地址，其同样

可以接入网络。

另外，对于那些MAC地址不能直接修改的网卡来说，用户

还可以采用软件的办法来修改MAC地址，即通过修改底层网络软件

达到欺骗上层网络软件的目的。

3、动态修改IP地址

某些攻击程序在网络上收发数据包，可以绕过上层网络软

件，动态修改自己的IP地址(或IP-MAC地址对)，以达到IP欺骗。

二、IPSourceGuard技术介绍

IP源防护(IPSourceGuard，简称IPSG)是一种基于

IP/MAC的端口流量过滤技术，它可以防止局域网内的IP地址欺骗

攻击。IPSG能够确保第2层网络中终端设备的IP地址不会被劫持，

而且还能确保非授权设备不能通过自己指定IP地址的方式来访问网

2

络或攻击网络导致网络崩溃及瘫痪。

交换机内部有一个IP源绑定表(IPSourceBindingTable)

作为每个端口接受到的数据包的检测标准，只有在两种情况下，交换

机会转发数据：

所接收到的IP包满足IP源绑定表中Port/IP/MAC的对应

关系

所接收到的是DHCP数据包

其余数据包将被交换机做丢弃处理。

IP源绑定表可以由用户在交换机上静态添加，或者由交换机

从DHCP监听绑定表(DHCPSnoopingBindingTable)自动学习获

得。静态配置是一种简单而固定的方式，但灵活性很差，因此Cisco

建议用户最好结合DHCPSnooping技术使用IPSourceGuard，

由DHCP监听绑定表生成IP源绑定表。

以DHCPSnooping技术为前提讲一下IPSourceGuard

技术的原理。在这种环境下，连接在交换机上的所有PC都配置为

动态获取IP地址，PC作为DHCP客户端通过广播发送DHCP请求，