DHCP Snooping配置以及介绍

DHCP Snooping简介

定义

DHCP Snooping是DHCP（Dynamic Host Configuration Protocol）的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击。

目的

目前DHCP协议（RFC2131）在应用的过程中遇到很多安全方面的问题，网络中存在一些针对DHCP的攻击，如DHCP Server仿冒者攻击、DHCP Server的拒绝服务攻击、仿冒DHCP报文攻击等。

为了保证网络通信业务的安全性，可引入DHCP Snooping技术，在DHCP Client和DHCP Server之间建立一道防火墙，以抵御网络中针对DHCP的各种攻击。

受益

• 设备具有防御网络上DHCP攻击的能力，增强了设备的可靠性，保障通信网络的正常运行。
• 为用户提供更安全的网络环境，更稳定的网络服务。

DHCP Snooping的基本原理

信任功能

DHCP Snooping的信任功能，能够保证客户端从合法的服务器获取IP（Internet Protocol）地址。

网络中如果存在私自架设的DHCP Server仿冒者，则可能导致DHCP客户端获取错误的IP地址和网络配置参数，无法正常通信。DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源，以防止网络中可能存在的DHCP Server仿冒者为DHCP客户端分配IP地址及其他配置信息。

DHCP Snooping信任功能将接口分为信任接口和非信任接口：

• 信任接口正常接收DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文。
• 非信任接口在接收到DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文后，丢弃该报文。

分析功能

开启DHCP Snooping功能后，设备能够通过分析DHCP的报文交互过程，生成DHCP Snooping绑定表，绑定表项包括客户端的MAC地址、获取到的IP地址、与DHCP客户端连接的接口及该接口所属的VLAN（Virtual Local Area Network）等信息。

DHCP Snooping绑定表根据DHCP租期进行老化或根据用户释放IP地址时发出的DHCP Release报文自动删除对应表项。

出于安全性的考虑，管理员需要记录用户上网时所用的IP地址，确认用户申请的IP地址和用户使用的主机的MAC地址的对应关系。在设备通过DHCP Snooping功能生成绑定表后，管理员可以方便的记录DHCP用户申请的IP地址与所用主机的MAC地址之间的对应关系。

由于DHCP Snooping绑定表记录了DHCP客户端IP地址与MAC地址等参数的对应关系，故通过对报文与DHCP Snooping绑定表进行匹配检查，能够有效防范非法用户的攻击。

为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上。

拓补图

1.

<Huawei>system-view 
[Huawei]sysname S1

[S1]vlan batch 10 100

VLAN 配置IP
[S1]interface Vlanif 10
[S1-Vlanif10]ip address 192.168.10.254 24
[S1-Vlanif10]q

[S1]interface Vlanif 100
[S1-Vlanif100]ip address 192.168.100.254 24
[S1-Vlanif100]q


不同的接口加入不同的 VLAN
[S1]interface GigabitEthernet 0/0/2
[S1-GigabitEthernet0/0/2]port link-type access 
[S1-GigabitEthernet0/0/2]port default vlan 10
[S1-GigabitEthernet0/0/2]q

[S1]interface GigabitEthernet 0/0/3	
[S1-GigabitEthernet0/0/3]port link-type access 
[S1-GigabitEthernet0/0/3]port default vlan 10
[S1-GigabitEthernet0/0/3]q

[S1]interface GigabitEthernet 0/0/1
[S1-GigabitEthernet0/0/1]port link-type access 
[S1-GigabitEthernet0/0/1]port default vlan 100
[S1-GigabitEthernet0/0/1]q

配置DHCP功能
[S1]interface Vlanif 10
[S1-Vlanif10]dhcp select relay 
[S1-Vlanif10]dhcp relay server-ip 192.168.100.1

2.

DHCP Server 基本配置
<Huawei>system-view 
[Huawei]sysname DHCP Server

[DHCP Server]interface GigabitEthernet 0/0/0
[DHCP Server-GigabitEthernet0/0/0]ip address 192.168.100.1 24
[DHCP Server-GigabitEthernet0/0/0]q


[DHCP Server]undo info-center enable 
[DHCP Server]dhcp enable 
[DHCP Server]ip pool vlan10
[DHCP Server-ip-pool-vlan10]network 192.168.10.0 mask 255.255.255.0
[DHCP Server-ip-pool-vlan10]gateway-list 192.168.10.254
[DHCP Server-ip-pool-vlan10]dns-list 8.8.8.8
[DHCP Server-ip-pool-vlan10]q


[DHCP Server]dhcp enable 	
[DHCP Server]interface GigabitEthernet 0/0/0
[DHCP Server-GigabitEthernet0/0/0]dhcp select global


写一条默认路由
[DHCP Server]ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

3.

PC1 拿到合法的IP

4.

非法的 DHCP 服务器

<Huawei>system-view 
[Huawei]sysname DH

[DH]interface GigabitEthernet 0/0/0
[DH-GigabitEthernet0/0/0]ip address 192.168.20.1 24

[DH]dhcp enable 
[DH]ip pool abc
[DH-ip-pool-abc]network 192.168.20.0 mask 255.255.255.0
[DH-ip-pool-abc]gateway-list 192.168.20.1
[DH-ip-pool-abc]dns-list 8.8.8.8
[DH-ip-pool-abc]q


[DH]interface GigabitEthernet 0/0/0
[DH-GigabitEthernet0/0/0]dhcp select global 

5.

现在PC1 拿到非法的 IP 

6.

SW1 基本配置

删除VLAN
[S1-GigabitEthernet0/0/2]undo port default vlan 

接口改为 trunk
[S1-GigabitEthernet0/0/2]port link-type trunk 

放行所有VLAN
[S1-GigabitEthernet0/0/2]port trunk allow-pass vlan all 

7.

S1基本配置

[S1]interface Ethernet 0/0/1
[[S1]-Ethernet0/0/1]port link-type trunk 
[[S1]-Ethernet0/0/1]port trunk allow-pass vlan all
[S1-Ethernet0/0/1]dhcp snooping trusted 
[[S1]-Ethernet0/0/1]q

[Huawei]interface Ethernet 0/0/1
[Huawei-Ethernet0/0/1]port link-type trunk 
[Huawei-Ethernet0/0/1]port trunk allow-pass vlan all
[Huawei-Ethernet0/0/1]q

[S1]interface Ethernet 0/0/2	
[S1-Ethernet0/0/2]port link-type access 	
[S1-Ethernet0/0/2]port default vlan 10
[S1-Ethernet0/0/2]dhcp snooping  enable
[S1-Ethernet0/0/2]q

[S1]interface Ethernet 0/0/3	
[S1-Ethernet0/0/3]port link-type access 
[S1-Ethernet0/0/3]port default vlan 10
[S1-Ethernet0/0/3]q


使能DHCP Snooping基本功能。 
# 使能全局DHCP Snooping功能并配置设备仅处理DHCPv4报文
[S1]dhcp snooping enable ipv4


使能用户侧接口的DHCP Snooping功能。以GE0/0/1接口为例，GE0/0/2的配置与GE0/0/1接口相同，不再赘述。
[S1]interface Ethernet 0/0/2
[S1-Ethernet0/0/2]dhcp snooping  enable 

[S1]dhcp snooping enable vlan 10

[S1]interface Ethernet 0/0/1	
[S1-Ethernet0/0/1]dhcp snooping trusted 

PC1现在拿到合法的IP