温馨提示×

温馨提示×

您好,登录后才能下订单哦!

密码登录×
登录注册×
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》

华为DHCP SNOOPING配置

发布时间:2020-07-02 05:04:09 来源:网络 阅读:15805 作者:baiguoping 栏目:安全技术

配置思路

1.使能DHCP Snooping功能。

2.配置接口的信任状态,以保证客户端从合法的服务器获取IP地址。

3.使能ARP与DHCPSnooping的联动功能,保证DHCP用户在异常下线时实时更新绑定表。

4.使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能,以防止非DHCP用户***。

5.使能对DHCP报文进行绑定表匹配检查的功能,防止仿冒DHCP报文***。

6.配置DHCP报文上送DHCP报文处理单元的最大允许速率,防止DHCP报文泛洪***。

7.配置允许接入的最大用户数以及使能检测DHCP Request

操作步骤

1.使能DHCP Snooping功能。

[SwitchC] dhcp enable

[SwitchC]dhcp snooping enable

2.使能用户侧接口的DHCP Snooping功能。

[SwitchC] dhcp snooping enable vlan 1 to 100(或直接在接口启用如下)

[SwitchC] interface gigabitethernet 0/0/1

[SwitchC-GigabitEthernet0/0/1] dhcp snooping enable

3.配置接口的信任状态:将连接DHCP Server的接口状态配置为“Trusted”。接dhcp的端口和交换机级联端口需要配置

[SwitchC] interface gigabitethernet 0/0/3

[SwitchC-GigabitEthernet0/0/3]dhcp snooping trusted

4.使能ARP与DHCPSnooping的联动功能。

[SwitchC]arp dhcp-snooping-detect enable

5.使能对DHCP报文进行绑定表匹配检查的功能。

[SwitchC] interface gigabitethernet0/0/1

[SwitchC-GigabitEthernet0/0/1] dhcp snooping check dhcp-request enable

6.配置DHCP报文上送DHCP报文处理单元的最大允许速率为10pps。

[SwitchC] dhcp snooping check dhcp-rate enable

[SwitchC] dhcp snooping check dhcp-rate 10

7.配置接口允许接入的最大用户数。

[SwitchC] interface gigabitethernet 0/0/1

[SwitchC-GigabitEthernet0/0/1] dhcp snooping max-user-number 2

8.配置丢弃报文告警和报文限速告警功能。

# 使能丢弃报文告警功能,并配置丢弃报文告警阈值。以GE0/0/1接口为例,GE0/0/2的配置相同

[SwitchC] interface gigabitethernet 0/0/1

[SwitchC] dhcp snooping alarm dhcp-rate enable

[SwitchC] dhcp snooping alarm dhcp-rate threshold 10

[SwitchC] dhcp snooping check user-bind enable

[SwitchC] dhcp snooping check mac-address enable 使能检查DHCPRequest报文头中MAC地址的功能

验证配置结果

display dhcp snooping configuration 查看DHCP Snooping的配置信息。

display dhcp snooping interface 查看接口下的DHCP Snooping运行信息。


reset dhcpsnooping user-bind vlan | interface | * 复位DHCPSnooping绑定表

dhcp snoopinguser-bind autosave file-name 备份DHCPSnooping绑定表。


arp anti-attackcheck user-bind enable

arp anti-attackcheck user-bind alarm enable

arp anti-attackcheck user-bind alarm threshold 10

arp anti-attackcheck user-bind check-item mac-address


ip source checkuser-bind enable 启用ip源防护

ip source checkuser-bind check-item { ip-address |mac-address | vlan }* 配置IP报文检查项

ip source checkuser-bind alarm enable 使能IP报文检查告警功能。

ip source checkuser-bind alarm threshold threshold 配置IP报文检查告警阈值缺省100




向AI问一下细节

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

AI