DHCP Snooping

一、DHCP Snooping简介

1.定义

DHCP Snooping是DHCP（Dynamic Host Configuration Protocol）的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击。

2.目的

• 目前DHCP协议（RFC2131）在应用的过程中遇到很多安全方面的问题，网络中存在一些针对DHCP的攻击，如DHCP Server仿冒者攻击、DHCP Server的拒绝服务攻击、仿冒DHCP报文攻击等。
• 为了保证网络通信业务的安全性，可引入DHCP Snooping技术，在DHCP Client和DHCP Server之间建立一道防火墙，以抵御网络中针对DHCP的各种攻击。

3.受益

• 设备具有防御网络上DHCP攻击的能力，增强了设备的可靠性，保障通信网络的正常运行。
• 为用户提供更安全的网络环境，更稳定的网络服务。

二、DHCP Snooping的基本原理

DHCP Snooping能够实现如下基本功能：

1.信任功能

DHCP Snooping的信任功能，能够保证客户端从合法的服务器获取IP（Internet Protocol）地址。

网络中如果存在私自架设的DHCP Server仿冒者，则可能导致DHCP客户端获取错误的IP地址和网络配置参数，无法正常通信。DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源，以防止网络中可能存在的DHCP Server仿冒者为DHCP客户端分配IP地址及其他配置信息。

DHCP Snooping信任功能将接口分为信任接口和非信任接口：

• 信任接口正常接收DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文。
• 非信任接口在接收到DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文后，丢弃该报文。

注：管理员在部署网络时，一般将与合法DHCP服务器直接或间接连接的接口设置为信任接口，其他接口设置为非信任接口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的DHCP Server仿冒者无法为DHCP客户端分配IP地址。

2.分析功能

• 开启DHCP Snooping功能后，设备能够通过分析DHCP的报文交互过程，生成DHCP Snooping绑定表，绑定表项包括客户端的MAC地址、获取到的IP地址、与DHCP客户端连接的接口及该接口所属的VLAN（Virtual Local Area Network）等信息。
• DHCP Snooping绑定表根据DHCP租期进行老化或根据用户释放IP地址时发出的DHCP Release报文自动删除对应表项。
• 出于安全性的考虑，管理员需要记录用户上网时所用的IP地址，确认用户申请的IP地址和用户使用的主机的MAC地址的对应关系。在设备通过DHCP Snooping功能生成绑定表后，管理员可以方便的记录DHCP用户申请的IP地址与所用主机的MAC地址之间的对应关系。
• 由于DHCP Snooping绑定表记录了DHCP客户端IP地址与MAC地址等参数的对应关系，故通过对报文与DHCP Snooping绑定表进行匹配检查，能够有效防范非法用户的攻击。
• 为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上。

三、实例

实验概述：

• LSW2与LSW3为接入设备，LSW1为DHCP Relay。PC1与R1分别通过Eth0/0/1与Eth0/0/2接入LSW2，PC3通过Eth0/0/1接入LSW3，其中PC1与PC3通过DHCP方式获取IP地址，而R2使用静态配置的IP地址。网络中存在非法用户的攻击导致合法用户不能正常获取IP地址，管理员希望能够防止网络中针对DHCP的攻击，为DHCP用户提供更优质的服务

实验拓扑：

1.1配置IP，将接口加入VLAN

[SW1]interface Vlanif 10
[SW1-Vlanif10]ip address 10.13.13.254 24
[SW1-Vlanif10]quit
[SW1]interface Vlanif 100
[SW1-Vlanif100]ip address 172.16.1.254 24
[SW1-Vlanif100]quit
[SW1]interface GigabitEthernet 0/0/1	
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default  vlan 10
[SW1-GigabitEthernet0/0/1]quit
[SW1]interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 10
[SW1-GigabitEthernet0/0/2]quit
[SW1]interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0/0/3]port link-type access
[SW1-GigabitEthernet0/0/3]port default vlan 100
[SW1-GigabitEthernet0/0/3]quit

[DHCP server]interface GigabitEthernet 0/0/1
[DHCP server-GigabitEthernet0/0/1]ip address 172.16.1.1 24
[DHCP server-GigabitEthernet0/0/1]quit

1.2配置DHCP

[SW1]dhcp enable       ----启用DHCP功能
Info: The operation may take a few seconds. Please wait for a moment.done.
[SW1]interface Vlanif 10
[SW1-Vlanif10]dhcp select relay     ----DHCP代理
[SW1-Vlanif10]dhcp relay server-ip 172.16.1.1     ----代理IP（DHCP Server）
[SW1-Vlanif10]quit


[DHCP server]dhcp enable 
[DHCP server]ip pool vlan10    ----创建DHCP地址池（名字自定义）
Info:It's successful to create an IP address pool.
[DHCP server-ip-pool-vlan10]network 10.13.13.0 mask 255.255.255.0  ----指定网段
[DHCP server-ip-pool-vlan10]gateway-list 10.13.13.254     ----指定网关
[DHCP server-ip-pool-vlan10]dns-list 1.1.1.1      ----指定DNS
[DHCP server-ip-pool-vlan10]quit
[DHCP server]interface GigabitEthernet0/0/1
[DHCP server-GigabitEthernet0/0/1]dhcp select global 
[DHCP server-GigabitEthernet0/0/1]quit
[DHCP server]ip route-static 0.0.0.0 0.0.0.0 172.16.1.254

1.3配置完DHCP在PC3上面可以看到已经获取IP

1.4接下来配置R1，R1作为非法用户

[R1]dhcp enable 
Info: The operation may take a few seconds. Please wait for a moment.done.
[R1]ip pool abc
Info:It's successful to create an IP address pool.
[R1-ip-pool-abc]network 192.168.10.0 mask 255.255.255.0
[R1-ip-pool-abc]gateway-list 192.168.10.254
[R1-ip-pool-abc]dns-list 8.8.8.8
[R1-ip-pool-abc]quit
[R1]interface Ethernet0/0/1
[R1-Ethernet0/0/1]ip address 192.168.10.254 24
[R1-Ethernet0/0/1]dhcp select global 
[R1-Ethernet0/0/1]quit

1.5用PC1去获取IP，可以发现获取的IP是R1非法用户的IP

1.6解决方法，在接入层交换机LSW2启用DHCP Snooping功能

[SW1]interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1]undo port default vlan    ----删除之前的接口VLAN
[SW1-GigabitEthernet0/0/1]port link-type trunk     ----配置为trunk模式
[SW1-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[SW1-GigabitEthernet0/0/1]quit

[SW2]vlan 10
[SW2-vlan10]quit
[SW2]interface GigabitEthernet 0/0/1
[SW2-GigabitEthernet0/0/1]port link-type trunk
[SW2-GigabitEthernet0/0/1]port trunk allow-pass vlan all 
[SW2-GigabitEthernet0/0/1]quit
[SW2]interface Ethernet0/0/2
[SW2-Ethernet0/0/2]port link-type access
[SW2-Ethernet0/0/2]port default vlan 10
[SW2-Ethernet0/0/2]quit
[SW2]interface Ethernet 0/0/1	
[SW2-Ethernet0/0/1]port link-type access
[SW2-Ethernet0/0/1]port default vlan 10
[SW2-Ethernet0/0/1]quit
[SW2]dhcp enable 
Info: The operation may take a few seconds. Please wait for a moment.done.	
[SW2]dhcp snooping enable ipv4
[SW2]interface Ethernet0/0/1
[SW2-Ethernet0/0/1]dhcp snooping enable    ----启用snooping功能
[SW2-Ethernet0/0/1]quit
[SW2]interface Ethernet0/0/2
[SW2-Ethernet0/0/2]dhcp snooping enable 
[SW2-Ethernet0/0/2]quit
[SW2]interface GigabitEthernet 0/0/1
[SW2-GigabitEthernet0/0/1]dhcp snooping trusted    ----配置信任接口

1.7可以看到PC1获取到了DHCP server的IP