DHCP Snooping基本原理

待我称王封你为后i 2023-02-14 15:58 9阅读 0赞

### **DHCP Snooping基本原理** ###

使能了DHCP Snooping的设备将用户(DHCP客户端)的DHCP请求报文通过信任接口发送给合法的DHCP服务器。之后设备根据DHCP服务器回应的DHCP ACK报文信息生成DHCP Snooping绑定表。后续设备再从使能了DHCP Snooping的接口接收用户发来的DHCP报文时，会进行匹配检查，能够有效防范非法用户的攻击。

DHCP Snooping信任功能

DHCP Snooping的信任功能，能够保证客户端从合法的服务器获取IP(Internet Protocol)地址。

如图1所示，网络中如果存在私自架设的DHCP Server仿冒者，则可能导致DHCP客户端获取错误的IP地址和网络配置参数，无法正常通信。DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源，以防止网络中可能存在的DHCP Server仿冒者为DHCP客户端分配IP地址及其他配置信息。

DHCP Snooping信任功能将接口分为信任接口和非信任接口:

信任接口正常接收DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文。另外，设备只会将DHCP客户端的DHCP请求报文通过信任接口发送给合法的DHCP服务器。

非信任接口在接收到DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文后，丢弃该报文。

在二层网络接入设备使能DHCP Snooping场景中，一般将与合法DHCP服务器直接或间接连接的接口设置为信任接口(如图1中的if1接口)，其他接口设置为非信任接口(如图1中的if2接口)，使DHCP客户端的DHCP请求报文仅能从信任接口转发出去，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的DHCP Server仿冒者无法为DHCP客户端分配IP地址。

![format_png][]

图一 DHCP Snooping 信任功能示意图

DHCP Snooping绑定表

如图2所示的DHCP场景中，连接在二层接入设备上的PC配置为自动获取IP地址。PC作为DHCP客户端通过广播形式发送DHCP请求报文，使能了DHCP Snooping功能的二层接入设备将其通过信任接口转发给DHCP服务器。最后DHCP服务器将含有IP地址信息的DHCP ACK报文通过单播的方式发送给PC。在这个过程中，二层接入设备收到DHCP ACK报文后，会从该报文中提取关键信息(包括PC的MAC地址以及获取到的IP地址、地址租期)，并获取与PC连接的使能了DHCP Snooping功能的接口信息(包括接口编号及该接口所属的VLAN)，根据这些信息生成DHCP Snooping绑定表。以PC1为例，图2中二层接入设备会从DHCP ACK报文提取到IP地址信息为192.168.1.253，MAC地址信息为MACA。再获取与PC连接的接口信息为if3，根据这些信息生成一条DHCP Snooping绑定表项。

图二 DHCP Snooping绑定表功能示意图

![format_png 1][]

[*推广*科沃斯官方商城618年中大促,扫地机器人T8 MAX预定到手价仅2699元!购机送无线吸尘器!^^「科沃斯商城」购机即送...][618_T8 MAX_2699_...]

图二 DHCP Snooping 绑定表功能示意图

DHCP Snooping绑定表根据DHCP租期进行老化或根据用户释放IP地址时发出的DHCP Release报文自动删除对应表项。

由于DHCP Snooping绑定表记录了DHCP客户端IP地址与MAC地址等参数的对应关系，故通过对报文与DHCP Snooping绑定表进行匹配检查，能够有效防范非法用户的攻击。

为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上。

在DHCP中继使能DHCP Snooping场景中，DHCP Relay设备不需要设置信任接口。因为DHCP Relay收到DHCP请求报文后进行源目的IP、MAC转换处理，然后以单播形式发送给指定的合法DHCP服务器，所以DHCP Relay收到的DHCP ACK报文都是合法的，生成的DHCP Snooping绑定表也是正确的。

[format_png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9wMC5zc2wucWhpbWdzNC5jb20vdDAxNzBjZTc4NzVmZTc2NWJlMC53ZWJw?x-oss-process=image/format,png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9wMC5zc2wucWhpbWdzNC5jb20vdDAxMzc3MDk4YTlhOWQzOTJmMS53ZWJw?x-oss-process=image/format,png
[618_T8 MAX_2699_...]: https://e.so.com/search/eclk?p=fda9QBDoQpj-8ebI0KhqcBPbMjvj2nqD8fGZJ9GqcVCqq6CAuhOk9A3082KXjkkDXCqHgVS3yjwIRqrq-_u_6d4CwOzalSlmo9Bwtz9CXOJQZx5NAuVXJLuP6mMv0OCreJFpvd0uMnEuOLkD2CaWkZA9fIpPGhEF5M_2CKcG-4CTexIstqL5SI9U1D90DB2AdYlRxkWsO9MRX_wXSQXEqrw8oO4lMcLpdEp89YXuRoJJFY7wYbiId73IPb62WlquPHO7-fWur9NUHhGO5qmXl2Fn4gKlTQyBLzvJAWuovQudt-XzXIPOHOfHWtoRth5estGlg-XgtFQ3U0tTAM3hSanPA7hXZR8IpZdyMY7YufdGCsZ4JL-iSioH-C5PZK-5EgHV1J9GiHqvF7NqIUzY9AwNDr86DkkwzsJBogHgeOgqCzMWT-R-mRXXZbtKiQQ88EwIk_JVt8YzkI4X2lrOR-olL3rOTr99r5QJnMqova2BLPYnIx2U8mAjBReJunw9oZRbd4nf_OI8Ca3PH89UsfZxg_imYykBR2Dtj4Gi08QbpSapWKcx5knfLJ2Fb-Sa_FflHjzQ1b8OKECBPtdcz1q6nzyQWU5lA_t_ND4aPFH885GdZ4rc7NE&ns=0&v=2&at=&aurl=aHR0cHM6Ly9tYWxsLmVjb3ZhY3MuY24vcHJvZHVjdC0zNzU3Lmh0bWw_dXRtX3NvdXJjZT0zNjAmdXRtX21lZGl1bT1jcGMmdXRtX3Rlcm095omr5Zyw5py65Zmo5Lq6&sig=407c&bt=0&dd=__EVENT_TIME_START__&ud=__EVENT_TIME_END__&st=__EVENT_TIME_START__&lm_extend=ctype%3A22%7Clmbid%3A1%2C2%2C38%2C32%2C64%2C72%2C81%2C8%2C102%2C111%2C500%7Cjt%3A1%7Cmaxbid%3A4390927%2C4390930%2C4390961%2C4456453%2C4456457%2C4456713%2C4456961%2C4456963%2C4457009%2C4457015%2C4457029%7Csadspace%3A