作为一名合格的网工，你还不知道DHCP Snooping是如何工作的嘛？

闫辉

嗨，大家好，小老虎今天为大家带来了DHCP Snooping的工作原理，小本本准备好，我们要开始啦！

DHCP Snooping顾名思义是跟DHCP有关的，他是DHCP的一种安全特性，用于保证DHCP客户端从合法DHCP服务器获取IP地址，并记录HDCP客户端IP地址与MAC地址参数的对应关系，防止网络上针对DHCP攻击。

DHCP Snooping有以下两种功能：

1.信任功能：DHCP Snooping信任功能将接口分为信任接口和非信任接口，这样能够保证客户端从合法的服务器获取IP地址

2.分析功能：开启DHCP Snooping功能后，设备能够通过分析DHCP报文交互的过程，生成DHCP Snooping绑定表，绑定表项包括客户端的MAC地址、获取到的IP地址、与DHCP客户端连接的接口以及该接口所属的VLAN，租约信息。

DHCP Snooping在哪些场景中能够应用呢？

1.防止DHCP Server仿冒者攻击

攻击原理：

由于DHCP Server和DHCP Client之间没有认证机制，所以当网络中随意增加一台DHCP服务器，他就可以冒充真正的服务器给网络中的其他设备分配IP地址和其他网络参数。如果该DHCP服务器分配的IP地址是错误的，那就会对网络造成非常大的影响。

解决方法：

                               
登录/注册后可看大图

如图所示，为了防止DHCP Server仿冒者攻击，可以将设备上接口配置为“Trusted”和“Untrusted”工作模式。将与合法的DHCP服务器的连接用“Trusted”接口，其他接口设置为“Untrusted”接口，当从“Untrusted”接口收到DHCP回应报文将直接丢弃，这样就可以防止DHCP Server仿冒者的攻击。

2.DHCP报文防洪攻击

攻击原理：

网络中的某台攻击设备，向服务器发送大量的DHCP Discover报文，导致服务器处理不过来，最后服务器瘫痪。

解决方法：

在使能设备的DHCP Snooping功能时，可同时使能设备对DHCP报文上送DHCP报文处理单元的速率进行检测的功能。此后，设备将会检测DHCP报文的上送速率，并仅允许在规定速率内的报文送至DHCP报文处理单元，而超过规定速率的报文将会被丢弃。

3.DHCP Server服务拒绝攻击（饿死）

攻击原理：

                               
登录/注册后可看大图

如图所示，假设interface 1接口下存在大量攻击者恶意申请的IP地址，那么就会导致DHCP Server中的IP地址快速耗尽而不能为其他合法用户提供IP地址分配服务。

解决方法：

为了抑制大量的DHCP用户恶意申请IP地址，在使能设备的DHCP Snooping功能后，可配置设备接口允许接入的最大DHCP用户数，当接入的用户数达到该值时，则不再允许任何用户通过此设备或接口成功申请到IP地址。

最后

太阁老师的个人微信

添加太阁老师个人微信领取：太阁免费视频资料、NA综合实验配置文件拓扑图及模拟器、太阁独家实验手册、网工必读书籍等   

                               
登录/注册后可看大图