单位有多台华为交换机,核心交换机s9300系列,各楼栋交换机S5700。其中设置2台DHCP服务器一主一备,配置Dhcp-relay。
最近发现有人在办公室误将网线插入办公室的家用路由器lan口,并且还开启了家用路由器dhcp,造成该网段电脑收到的都是非法的路由器dhcp信息,无法正常上网,对办公影响很大。
经查找资料,发现启用交换机的DHCP Snooping功能,直接屏蔽掉那个非法路由器就可以了。
dhcp snooping功能开启后,默认所有端口为非信任口,即忽略掉所有端口发送的dhcp报文。为了能正常使用网络,我们只需要把上联DHCP服务器的交换机24口(按自己实际情况)设置为信任端口即可。设置完经测试完美达到目的。
配置命令如下:
- 开启DHCP Snooping命令(不用大写)
- 所有端口必须设置为dhcp snooping enable。
- 再进入上联DHCP交换机端口24口(trunk)
- 同时配置trunk命令及允许VLAN网段
- 设置交换机24口为信任DHCP端口,其余均默认为非信任端口,dhcp snooping trust 。
- 保存
system-view
dhcp enable
dhcp snooping enable
port-group 1
group-member g0/0/1 to g0/0/24
dhcp snooping enable
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow vlan 1 to 4
dhcp snooping trust
quit
quit
save
注意:以上配置命令需要在接入层交换机上设置,核心层交换机一般不需要配置见下图。
DHCP SNOOPING交换机示意图