华为交换机DHCP snooping配置教程
华为交换机DHCPSNOOPING功能使用案例解析
手动添加一个user-bind表项测试
[Quidway]user-bind static ip-address 192.168.0.250 mac-address c454-4400-3f71
可以ping通网关
得出结论：
如果一个网段中有部分预留的IP地址要使用的话，必须手动添加user-bind表项才行，如果是DHCP获取的IP地址可以自动的生产user-bind表项，不用添加，总之dhcp snooping + user-bind是一个非常好的功能，再也不用担心下面接入交换机上乱接小路由器的lan口而担心了！哈哈！
dhcp snooping trusted
4、dhcp snooping测试情况（一）
电脑获取到了来自dhcp信任端口24号口的dhcp报文，IP地址获取到192.168.0.0/24网段
发现来不信任端口23号端口上的dhcp报文被丢弃
[Quidway-Ethernet0/0/24]display dhcp snooping interface Ethernet 0/0/23
4.使用笔记本电脑获取IP地址
3、dhcp snooping测试配置（一）
#
dhcp enable
dhcp snooping enable
#
interface Ethernet0/0/23
dhcp snooping enable
#
interface Ethernet0/0/24
dhcp snooping enable
修改我笔记本电脑上的IP地址测试（修改为dhcp范围之外的192.168.0.250）
交换机上1号端口发现了在user-bind表现外的报文，直接丢弃了
华为S3700-DHCP-Snooping配置
1.S3700 DHCP Snooping 配置1.1配置防止DHCP Server 仿冒者的攻击防止DHCP Server 仿冒者攻击的基本配置过程，包括配置信任接口、配置DHCPReply 报文丢弃告警功能。
#dhcp enabledhcp snooping enabledhcp server detect#interface GigabitEthernet0/0/1dhcp snooping enabledhcp snooping trusted#interface GigabitEthernet0/0/2dhcp snooping enabledhcp snooping alarm untrust-reply enabledhcp snooping alarm untrust-reply threshold 120在端口下配置dhcp snooping 后默认成为untrusted端口1.2配置防止改变CHADDR 值的DoS 攻击示例如果攻击者改变的不是数据帧头部的源MAC，而是通过改变DHCP 报文中的CHADDR （Client Hardware Address）值来不断申请IP 地址，而S3700 仅根据数据帧头部的源MAC 来判断该报文是否合法，那么MAC 地址限制不能完全起作用，这样的攻击报文还是可以被正常转发。
为了避免受到攻击者改变CHADDR 值的攻击，可以在S3700 上配置DHCP Snooping 功能，检查DHCP Request 报文中CHADDR 字段。
如果该字段跟数据帧头部的源MAC 相匹配，转发报文；否则，丢弃报文Switch 应用在用户网络和ISP 的二层网络之间，为防止攻击者通过改变CHADDR 值进行DoS 攻击，要求在Switch 上应用DHCP Snooping 功能。
检查DHCPRequest 报文中CHADDR 字段，如果该字段跟数据帧头部的源MAC 相匹配，便转发报文；否则丢弃报文。
华为交换机 01-09 MLD Snooping配置
9 MLD Snooping配置关于本章MLD Snooping配置在二层组播设备上，通过对上游三层设备和下游用户之间的MLD报文进行分析，建立和维护IPv6的二层组播转发表，实现组播数据报文在数据链路层的按需分发。
注意事项端口作为VPLS AC侧的接入端口时，如果该端口同时还作为组播流入接口，会导致对应组播数据无法正常转发。
9.1 MLD Snooping概述MLD Snooping (Multicast Listener Discovery Snooping)是一种IPv6二层组播协议，通过侦听三层组播设备和用户主机之间发送的组播协议报文来维护组播报文的出接口信息，从而管理和控制组播数据报文在数据链路层的转发。
9.2 设备支持的MLD Snooping特性设备支持的MLD Snooping特性包括：MLD Snooping基本功能、MLD Snooping策略、成员快速刷新等。
9.3 缺省配置介绍缺省情况下，MLD Snooping的配置信息。
9.4 配置MLD Snooping基本功能配置MLD Snooping基本功能，设备可以建立并维护IPv6二层组播转发表，实现组播数据报文在数据链路层的按需分发。
9.5 配置MLD Snooping策略通过配置MLD Snooping策略，可以控制用户对组播节目的点播，提高二层组播网络的可控性和安全性。
9.6 配置成员关系快速刷新配置成员关系快速刷新，使组播组成员加入或者离开组播组时设备能够快速响应成员变化，可以提高组播业务运行效率和用户体验。
9.7 维护MLD SnoopingMLD Snooping的维护，包括清除MLD Snooping表项、清除MLD Snooping的统计信息、监控MLD Snooping运行状态。
9.8 配置举例针对如何在IPv6组播网络中配置MLD Snooping 基本功能、静态端口、MLD Snooping 查询器、成员端口快速离开、响应拓扑变化发送查询报文，分别提供配置举例。
15-dhcp-snooping命令
【参数】 无
【描述】 dhcp-snooping 命 令 用 来 开 启 交 换 机 监 听 DHCP 广 播 报 文 的 功 能 ， undo dhcp-snooping 命令用来关闭此功能。 缺省情况下，交换机关闭监听 DHCP 广播报文功能。 相关配置可参考命令 display dhcp-snooping。
【视图】 任意视图
1-1
H3C S3100-SI 系列以太网交换机 命令手册 DHCP-Snooping
【参数】
无
第 1 章 DHCP-Snooping 配置命令
【描述】
display dhcp-snooping 命令用来显示通过 DHCP-Snooping 记录的用户 IP 地址和 MAC 地址的对应关系。 相关配置可参考命令 dhcp-snooping。
【举例】 # 启动监听 DHCP 功能。
<H3C> system-view System View: return to User View with Ctrl+Z [H3C] dhcp-snooping
1.1.2 display dhcp-snooping
【命令】 display dhcp-snooping
H3C S3100-SI 系列以太网交换机 命令手册 DHCP-Snooping
目录
目录
第 1 章 DHCP-Snooping配置命令 ...........................................................................................1-1 1.1 DHCP-Snooping配置命令.................................................................................................. 1-1 1.1.1 dhcp-snooping......................................................................................................... 1-1 1.1.2 display dhcp-snooping ............................................................................................ 1-1
华为S2300 DHCP snooping 配置
方法二：
<Quidway> system-view
[Quidway] dhcp enable
[Quidway] dhcp snooping enable-----使能全局DHCP Snooping功能。
[Quidway] interface gigabitethernet 0/0/2
[Quidway]vlan 10---------------用户所属的vlan
[Quidway-vlan10]dhcp snooping enable
[Quidway-vlan10]dhcp snooping trusted interface GigabitEthernet0/0/16-----------上行接server的端口配置为信任端口
[Quidway] port-group portgroup1
[Quidway-port-group-portgroup1] group-member Ethernet 0/0/1 to Ethernet 0/0/10
[Quidway-port-group-portgroup1]――――在这个视图下统一配置DHCP Snooping enable 即可
[Quidway-GigabitEthernet0/0/1]dhcp snooping enable
[Quidway-GigabitEthernet0/0/1] quit
端口组操作：
# 将以太网端口GigabitEthernet 0/0/1加入端口组portgroup1。
<Quidway> system-view
[Quidway-GigabitEthernet0/0/2] dhcp snooping enable---------所有接口下使能DHCP Snooping功能（闲麻烦可以把这些端口加入到一个端口组来操作，见下面）
华为交换机DHCPsnooping配置教程
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP平安特性，在配置DHCP Snooping各平安功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1配置DHCP Snooping根本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP 效劳器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口〔如图中的接口if1、if2和if3〕或其所属VLAN〔如图中的VLAN 10〕使能DHCP Snooping功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4DHCPv4 Snoopingipv6DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable#使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，假设某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
华为交换机DHCP服务的配置
华为交换机DHCP服务的配置PC1目的：给主机分配ip地址注意：dhcp服务器自己要有ip地址启用dhcp服务排除地址的设置保留地址的设置网关和dns的设置<Huawei>sy[Huawei]dhcpenable〃启用dhcp服务[Huawei]undoinfo-centerenable[Huawei]interfacevlan1[Huawei-Vlanifl]ipaddress192.168.1.124〃给vlanl配置地址做为要分配的网关[Huawei-Vlanifl]dhcpselectinterface〃dhcp选择接口模式（即使用Vlanl接口）[Huawei-Vlanifl]dhcpservere×cluded-ip-address192.168.1.200192.168.1.254〃排除L200到1.254的地址，不分配给客户机[Huawei-Vlanifl]dhcpservere×cluded-ip-address192.168.1.2〃排除单个地址192.168.1.2不分配[Huawei-Vlanifl]dhcpserverstatic-bindip-address192.168.1.88mac-address5489-980B-06FC〃配置保留地址（192.168.1.88保留给mac地址为5489-980B-06FC 的主机pc2）,无论他第几个开机，都能获取该ip地址[Huawei-Vlanifl]dhcpserverdns-list114.114.114.114202.102.224.68〃配置要分配的dns地址[Huawei-Vlanifl]dhcpserverleaseday1hour0minute0〃配置地址池的租约[Huawei-Vlanifl]测试：。
H3C DHCP Snooping
include } text ] ] | [ vlan [ vlan-id ] ]
【参数】
controller：查看controller 配置。
DHCPSnooping配置关键点
1．当交换机开启了 DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCPOffer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址；
configuration 取值为交换机的配置的关键字，例如：
acl-adv：查看高级访问控制列表的配置。
ospf：查看OSPF 的配置。
system：查看主机名。
timerange：查看时间范围的配置。
可选的配置关键字只有配置了相关功能之后才能出现。
vlan [ vlan-id ]：查看系统中VLAN 的配置。不使用vlan-id 参数表示查看系统中所
DHCP Snt;H3C>system-view
2．全局使能dhcp-snooping功能
[H3C]dhcp-snooping
3．进入端口E1/0/2
[H3C] interface Ethernet 1/0/2
3．将端口E1/0/2配置为trust端口，
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
缺省情况下设备使能DHCP Snooping功能之后将允许该用户上线，并刷新DHCP Snooping绑定表。
但是在某些场景中，这样的处理方式存在安全风险，比如网络中存在攻击者仿冒合法用户发送DHCP Discover报文，最终导致DHCP Snooping绑定表被刷新，合法用户网络访问中断。
此时需要去使能DHCP Snooping用户位置迁移功能，丢弃DHCP Snooping 绑定表中已存在的用户（用户MAC信息存在于DHCP Snooping绑定表中）从其他接口发送来的DHCP Discover报文。
[Huawei]undo dhcp snooping user-transfer enable4、配置ARP与DHCP Snooping的联动功能DHCP Snooping设备在收到DHCP用户发出的DHCP Release报文时将会删除该用户对应的绑定表项，但若用户发生了异常下线而无法发出DHCP Release报文时，DHCP Snooping设备将不能够及时的删除该DHCP用户对应的绑定表。
使能ARP与DHCP Snooping的联动功能，如果DHCP Snooping表项中的IP地址对应的ARP表项达到老化时间，则DHCP Snooping设备会对该IP 地址进行ARP探测，如果在规定的探测次数内探测不到用户，设备将删除用户对应的ARP表项。
之后，设备将会再次按规定的探测次数对该IP地址进行ARP 探测，如果最后仍不能够探测到用户，则设备将会删除该用户对应的绑定表项。
只有设备作为DHCP Relay时，才支持ARP与DHCP Snooping的联动功能。
[Huawei]arp dhcp-snooping-detect enable5、配置用户下线后及时清除对应MAC表项功能当某一DHCP用户下线时，设备上其对应的动态MAC表项还未达到老化时间，则设备在接收到来自网络侧以该用户IP地址为目的地址的报文时，将继续根据动态MAC表项转发此报文。
这种无效的报文处理在一定程度上将会降低设备的性能。
设备在接收到DHCP用户下线时发送DHCP Release报文后，将会立刻删除用户对应的DHCP Snooping绑定表项。
利用这种特性，使能当DHCP Snooping动态表项清除时移除对应用户的MAC表项功能，则当用户下线时，设备将会及时的移除用户的MAC表项。
[Huawei]dhcp snooping user-offline remove mac-address6、配置丢弃GIADDR字段非零的DHCP报文DHCP报文中的GIADDR（Gateway Ip Address）字段记录了DHCP报文经过的第一个DHCP Relay的IP地址，当客户端发出DHCP请求时，如果服务器和客户端不在同一个网段，那么第一个DHCP Relay在将DHCP请求报文转发给DHCP服务器时，会把自己的IP地址填入此字段，DHCP服务器会根据此字段来判断出客户端所在的网段地址，从而选择合适的地址池，为客户端分配该网段的IP地址。
图1 多DHCP中继场景下DHCP报文处理流程（以DHCP Request 报文为例）如上图1所示，在为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上（如图中的DHCP Relay1设备）。
故DHCP Snooping设备接收到的DHCP报文中GIADDR字段必然为零，若不为零则该报文为非法报文，设备需丢弃此类报文。
在DHCP中继使能DHCP Snooping场景中，建议配置该功能。
通常情况下，PC发出的DHCP报文中GIADDR字段为零。
在某些情况下，PC发出的DHCP报文中GIADDR字段不为零，可能导致DHCP服务器分配错误的IP地址。
为了防止PC用户伪造GIADDR字段不为零的DHCP报文申请IP 地址，建议配置该功能。
[Huawei]dhcp snooping check dhcp-giaddr enable vlan ?INTEGER<1-4094> Virtual LAN ID或[Huawei-vlan5]dhcp snooping check dhcp-giaddr enable或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-giaddr enable7、使能DHCP Server探测功能在使能DHCP Snooping功能并配置了接口的信任状态之后，设备将能够保证客户端从合法的服务器获取IP地址，这将能够有效的防止DHCP Server仿冒者攻击。
但是此时却不能够定位DHCP Server仿冒者的位置，使得网络中仍然存在着安全隐患。
通过配置DHCP Server探测功能，DHCP Snooping设备将会检查并在日志中记录所有DHCP回应报文中携带的DHCP Server地址与接口等信息，此后网络管理员可根据日志来判定网络中是否存在伪DHCP Server进而对网络进行维护。
[Huawei]dhcp server detect8、防止DHCP报文泛洪攻击在DHCP网络环境中，若存在DHCP用户短时间内向设备发送大量的DHCP 报文，将会对设备的性能造成巨大的冲击以致可能会导致设备无法正常工作。
通过使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能将能够有效防止DHCP报文泛洪攻击。
8.1、使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能[Huawei-vlan3]dhcp snooping check dhcp-rate enable # 接口视图下命令一样或[Huawei]dhcp snooping check dhcp-rate enable ?INTEGER<1-100> Rate value (Unit:pps)alarm Alarmvlan Virtual LAN<cr>8.2、DHCP报文上送DHCP报文处理单元的最大允许速率[Huawei-vlan3]dhcp snooping check dhcp-rate ?INTEGER<1-100> Rate value (Unit:pps)enable Enable[Huawei-vlan3]dhcp snooping check dhcp-rate 808.3、使能当丢弃的DHCP报文数达到告警阈值时的告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate enable8.4、配置接口下被丢弃的DHCP报文的告警阈值[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate threshold ?INTEGER<1-1000> Threshold value (Unit:packets)9、防止仿冒DHCP报文攻击在DHCP网络环境中，若攻击者仿冒合法用户的DHCP Request报文发往DHCP Server，将会导致用户的IP地址租约到期之后不能够及时释放，以致合法用户无法使用该IP地址；若攻击者仿冒合法用户的DHCP Release报文发往DHCP Server，将会导致用户异常下线。
在生成DHCP Snooping绑定表后，设备可根据绑定表项，对DHCP Request 报文或DHCP Release报文进行匹配检查，只有匹配成功的报文设备才将其转发，否则将丢弃。
这将能有效的防止非法用户通过发送伪造DHCP Request或DHCP Release 报文冒充合法用户续租或释放IP地址。
9.1、使能对从指定VLAN内上送的DHCP报文进行绑定表匹配检查的功能[Huawei]dhcp snooping check dhcp-request enable vlan ? INTEGER<1-4094> Virtual LAN ID或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-request enable9.2、使能与绑定表不匹配而被丢弃的DHCP报文数达到阈值时的DHCP Snooping告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-request enable9.3、DHCP Snooping丢弃报文数量的告警阈值。