华为DHCP及DHCP安全技术

DHCP 动态主机配置协议
基于UDP协议
bootpc—端口号68
bootps—端口号67

DHCP 角色：
1.DHCP client： 请求获取ip地址
2.DHCP server：为DHCP client分配的地址，地址租借，续租，释放
3.DHCP relay ：中继代理(由于client和DHCP server不在同一个网段)
负责转发来自客户端方向或服务器方向的DHCP报文，协助DHCP客户端和DHCP服务器完成地址配置功能。

四个阶段：
1.发现阶段 discovery
查找DHCP server服务器的阶段，用广播报文

2.提供阶段 offer 单播
DHCP服务器提供IP地址的阶段

3.选择阶段 request 广播
DHCP client选择IP地址的阶段
选择第一个接收到offer报文的DHCP server
包含option 54 —是提供IP地址的server
Request 消息如果用于续租，在50%以单播发送，87.5%以广播发送

4.确认阶段
DHCP服务器确认所提供IP地址的阶段

DHCP 配置：
1.基于接口配置
interface Vlanif10
ip address 10.1.1.254 255.255.255.0
dhcp select interface //接口使能DHCP功能
dhcp server excluded-ip-address 10.1.1.100 10.1.1.253 //DHCP server分配地址的时候排错地址10.1.1.100–10.1.1.253
dhcp server lease day 0 hour 2 minute 0 //分配地址的租期2小时

验证
dis ip pool interface vlanif10 used

2.全局DHCP的配置

ip pool HW //DHCP pool名称为HW
gateway-list 10.1.1.254 //网关地址
network 10.1.1.0 mask 255.255.255.0 //分发地址网段
excluded-ip-address 10.1.1.50 10.1.1.253 //保留的地址50-253
lease day 0 hour 2 minute 0 //租期2h
dns-list 8.8.8.8 //dns server地址8.8.8.8
domain-name HW.com

interface Vlanif10
ip address 10.1.1.254 255.255.255.0
dhcp select global //应用本地的DHCP server

===============================================================
中继代理：
1.前提条件
中继代理的地址要和DHCP server地址一定要路由可达

SW3：
interface Vlanif10
ip address 10.1.1.254 255.255.255.0
dhcp select relay //开启中继代理
dhcp relay server-ip 100.1.1.1 //指定DHCP server地址

[SW3]dis dhcp relay all
DHCP relay agent running information of interface Vlanif10 :
Server IP address [01] : 100.1.1.1
Gateway address in use : 10.1.1.254

======================================================
DHCP snooping 功能：

1.两大功能：
信任端口：可以接收和处理所有的DHCP 报文
信任端口一般连接上联交换机的端口 trunk端口，或者DHCP server服务器的端口

非信任端口：只能发送DHCP discovery，拒绝从非信任接口由DHCP server发过来的DHCP 的其他报文 比如 OFFER ack NAK等

一般连接终端设备的端口,DHCP snooping是在中继环境下，才生效。一般配置在接入交换机上

dhcp snooping enable //全局开启dhcp snooping

vlan 10 /
dhcp snooping enable

interface GigabitEthernet0/0/3
dhcp snooping enable //接口开启DHCP snooping
dhcp snooping trusted //配置为信任接口

interface GigabitEthernet0/0/23
dhcp snooping enable //非信任接口
dhcp snooping check dhcp-rate enable
dhcp snooping check dhcp-rate 50 //限制DHCP rate 每秒50pps

[SW3]dis dhcp snooping
[SW3]dis dhcp snooping user-bind all
绑定表包含的内容：ip mac vlan 接口租期

int g0/0/23 ----配置在中继的接口上，连接终端设备的接口
dhcp option82 insert enable