DHCP Snooping

DHCP Snooping

DHCP被用于动态地址分发，极大的降低了终端接入网络的简易性，但是协议本身没有任何的安全保护机制，非常容易被针对攻击。同一广播域中一旦出现虚假DHCP Server，终端获取的地址将极有可能是虚假DHCP Server推送的IP地址，导致广播域中很大一部分终端无法上网。

DHCP Snooping功能概述

• 对非信任接口收到的DHCP等报文过滤
• 限制DHCP速率
• 维护DHCP snooping binding database
• DAI需要DHCP snooping binding database的信息

DHCP Snooping报文过滤

当DHCP Snooping功能在相应vlan开启后，在不信任的接口在收到以下报文会产生丢弃行为

• 当收到（例如：DHCPOFFER、DHCPACK、DHCPNAK、DHCPLEASEQUERY报文）
• 当收到源MAC地址和DHCP客户端硬件地址不匹配
• 当收到DHCPRELEASE、DHCPDECLINE报文但是和DHCP Snooping数据库中的绑定条目不匹配
• 当收到DHCP packets含有options-82选项

DHCP Snooping 82选项插入

开启DHCP Snooping的就交换机在收到DHCP报文时会对报文插入82选项

• option-82信息包含交换机MAC、端口身份、vlan-mod-port（如下图）
• 
  

• 如果开启802.1x，option-82内包含Radius认证信息
• 包含中继地址

DHCP Snooping database

所有绑定信息都会存储在数据库中（如下图）

默认DHCP Snooping开启功能

Option	Default Value/State
DHCP snooping	Disabled
DHCP snooping host tracking feature	Disabled
DHCP snooping information option	Enabled