网络安全卫士：DHCP Snooping 深度剖析与实践_网络安全卫士:dhcp snooping 深度剖析与实践-CSDN博客

本文链接：https://blog.csdn.net/m0_57836225/article/details/145146400

在当今网络互联的时代，DHCP（动态主机配置协议）极大地简化了网络中设备 IP 地址的分配过程。然而，如同任何技术一样，DHCP 也面临着多种安全威胁。为应对这些威胁，DHCP Snooping 技术应运而生，成为保障网络安全的重要防线。

攻击者持续向 DHCP 服务器发送海量的 IP 地址申请报文，并且不断伪造客户端硬件地址。服务器误以为是众多不同客户端在请求地址，直至地址池中的 IP 地址耗尽。此时，合法主机再发送请求，服务器因无可用地址，只能拒绝响应，导致合法主机无法上网。

攻击者仿冒 DHCP 服务器，向客户端分配错误的 IP 地址、网关等参数。在网络环境中，可能因用户误操作连接了未正确配置的路由器（如 TP - LINK 路由器且 LAN 口 DHCP 功能开启），导致部分主机从错误的 “服务器” 获取参数，无法正常访问网络。

利用 ARP 欺骗实现，攻击者通过欺骗服务器和客户端，篡改 IP 与 MAC 地址的映射关系。当客户端发送 DHCP 报文时，报文会先到达攻击者，攻击者可对报文进行篡改或丢弃，导致客户端 IP 地址异常、出现地址冲突等问题。

DHCP Snooping 是一种部署在交换机上的安全特性，不同厂商的实现规范可能存在差异。它通过监听服务器和客户端之间交互的 DHCP 报文，依据服务器发送的 ACK 报文构建包含 VLAN ID、IP 地址、MAC 地址和端口号的绑定表。

防止饿死攻击
- 原理：开启 DHCP Snooping 的交换机在收到客户端发送的 request 消息后，会对比 DHCP 报文中的客户端硬件地址字段与数据链路层中的原 MAC 地址。若两者不同，则判定为非法报文并丢弃。
- 配置命令示例
  开启 DHCP 功能：

dhcp enable

开启 DHCP Snooping 功能：

dhcp snooping enable

在 VLAN 1 下开启 DHCP Snooping 监听功能：

vlan 1
dhcp snooping enable

限制接口可形成的绑定表数量（假设限制为 5 个）：

interface GigabitEthernet0/0/1
dhcp snooping user-bind limit 5

根据 Snooping 表象形成静态 MAC 地址表：

interface GigabitEthernet0/0/1
dhcp snooping static mac-address

防止仿冒服务器攻击
- 原理：开启 DHCP Snooping 后，交换机接口分为信任接口和非信任接口。交换机仅处理从信任接口收到的响应报文，非信任接口收到服务器产生的响应消息将被丢弃。连接真正服务器的接口需配置为信任接口，其他接口默认是非信任接口。
- 配置命令示例
  配置接口为信任接口（假设接口为 GigabitEthernet0/0/2）：

interface GigabitEthernet0/0/2
dhcp snooping trust

防止中间人攻击
- 原理：交换机收到 ARP 报文后，提取报文中的 MAC 地址和原 IP 地址，与绑定表进行匹配检查。若不一致，则判定为非法报文并丢弃。
- 配置命令示例
  开启 ARP 报文和 DHCP 绑定表匹配检查功能（以系统视图为例）：

arp dhcp-snooping check enable

IP 原保护用于防止原 IP 地址欺骗攻击。非法主机可能在合法主机关机后，冒用其 IP 地址访问网络资源。通过在交换机上创建绑定表（可静态手动创建或基于 DHCP Snooping 动态绑定表实现），对收到的基于 IP 封装的数据报文进行匹配检查。若报文信息与绑定表不匹配，则丢弃报文。

user-bind static ip-address 192.168.1.1 mac-address 4cggb21 interface GigabitEthernet0/0/2 vlan 1

dhcp snooping ip-source binding enable

DHCP Snooping 技术与 IP 原保护相互配合，为网络安全提供了有力保障。在实际网络部署中，需根据网络规模、架构和安全需求，合理配置这些安全功能，确保网络稳定、安全运行。