DHCP Snooping技術是DHCP安全特性，通過建立和維護DHCP Snooping綁定表過濾不可信任的DHCP信息，這些信息是指來自不信任區域的DHCP信息。DHCP Snooping綁定表包含不信任區域的用戶MAC地址、IP位址、租用期、VLAN-ID 接口等信息。
基本介紹
- 中文名：DHCP安全特性
- 外文名：DHCP Snooping
- 主要作用：隔絕非法的dhcp server
- 套用：對網路安全要求高的單位等
介紹,作用,配置,防止ARP污染,套用場景,注意事項,
介紹
當交換機開啟了 DHCP-Snooping後，會對DHCP報文進行偵聽，並可以從接收到的DHCP Request或DHCP Ack報文中提取並記錄IP位址和MAC地址信息。另外，DHCP-Snooping允許將某個物理連線埠設定為信任連線埠或不信任連線埠。信任連線埠可以正常接收並轉發DHCP Offer報文，而不信任連線埠會將接收到的DHCP Offer報文丟棄。這樣，可以完成交換機對假冒DHCP Server的禁止作用，確保客戶端從合法的DHCP Server獲取IP位址。
作用
1.dhcp-snooping的主要作用就是隔絕非法的dhcp server，通過配置非信任連線埠。
2.與交換機DAI的配合，防止ARP病毒的傳播。
3.建立和維護一張dhcp-snooping的綁定表，這張表一是通過dhcp ack包中的ip和mac地址生成的，二是可以手工指定。這張表是後續DAI（dynamic arp inspect）和IPSource Guard 基礎。這兩種類似的技術，是通過這張表來判定ip或者mac地址是否合法，來限制用戶連線到網路的。
4.通過建立信任連線埠和非信任連線埠，對非法DHCP伺服器進行隔離，信任連線埠正常轉發DHCP數據包，非信任連線埠收到的伺服器回響的DHCP offer和DHCPACK後，做丟包處理，不進行轉發。
配置
以Cisco交換機為例：
switch（config）#ip dhcp snooping
switch（config）#ip dhcp snooping vlan 10
/*在Vlan10啟用dhcp snooping
switch（config-if）#ip dhcp snooping limit rate 10
/*dhcp包的轉發速率，超過後接口就shutdown，默認不限制;
switch（config-if）#ip dhcp snooping trust
/*這樣這個連線埠就變成了信任連線埠，信任連線埠可以正常接收並轉發DHCP Offer報文，不記錄ip和mac地址的綁定，默認是非信任連線埠"
switch#ip dhcp snooping binding 0009.3452.3ea4 vlan 7 192.168.10.5 interface gi1/0/10
/*這樣可以靜態ip和mac一個綁定；
switch（config）#ip dhcp snooping database tftp:// 10.1.1.1/dhcp_table
/*因為掉電後，這張綁定表就消失了，所以要選擇一個保存的地方，ftp，tftp，flash皆可。本例中的dhcp_table是檔案名稱，而不是資料夾，同時檔案名稱要手工創建一個。
show ip dhcp snooping
/*顯示DHCP探測狀態*/
防止ARP污染
DHCP snooping還可以跟蹤主機的物理位置，從而可以防禦（ARP）快取污染攻擊。它在防禦這些攻擊的過程中發揮重要作用，因為您可以使用DHCP snooping技術丟棄一些來源與目標MAC地址不符合已定義規則的DHCP訊息。管理會收到通過DHCP snooping警報通知的違規行為。當DHCP snooping服務檢測到違規行為時，它會在系統日誌伺服器上記錄一條訊息“DHCP Snooping”。
DHCP snooping是實現2層協定流量安全性的第一步。惡意DHCP伺服器不僅會導致網路問題，它們還可以被攻擊者用於轉發敏感流量和發起中間人攻擊。如果還沒有做好這些措施，那么一定要考慮實現這些防禦措施，保證網路基礎架構的安全性。
套用場景
（1）對網路安全要求程度比較高和對IP位址管理有一定需求的單位，如xx菸草、XX電網等
（2）此策略應配置在接入層交換機當中。其中，在交換機上聯連線埠以及聚合連線埠需配置為信任連線埠，需靜態IP的連線埠需開啟信任！
注意事項
若交換機下聯有Hub、路由器等設備，若網路中有靜態IP位址存在，配置snooping+dai以後會造成小範圍內多個用戶不能上網。因此建議先在交換機開啟snooping，觀察網路沒有異常以後，逐個vlan開啟DAI功能。
