锐捷-dhcp snooping 的使用-SHWGYDXWXXM-20210406

dhcp snooping的使用：
由于dhcp防止用户私接dhcp欺骗，所以只需要在接入交换机配置即可。
接入交换机全局配置ip dhcp snooping //全局启用dhcp snooping
在接入交换机上联口配置ip dhcp snooping trust //上联口启用dhcp信任，配置之后才可以转发dhcp报文。
Ruijie(config)#ip dhcp snooping check-giaddr ------>全局启动 DHCP Snooping 支持处理 Relay 请求报文功能 。中继环境中，需要在有配置DHCP snooping的交换机额外配置 check-giaddr

备注:
全局启用ip dhcp snooping 的话，上联口必须配置IP dhcp snooping trust才可以获取dhcp报文。
如果全局不启用ip dhcp snooping，上联口不需要配置IP dhcp snooping trust。也是可以正常获取dhcp的。

【锐捷官方解释】
应用场景：
DHCP Snooping：当你的网络中存在DHCP 服务器欺骗的时候就可以考虑采用这个功能，比如网络中有个别终端用的是window 2003，或者2008系统默认开启了DHCP分配IP的服务，或者是一些接入层的端口连接有TPLINK，DLINK这样的无线路由器，开启了DHCP分配IP的服务。我们推荐在用户接入层交换机上面部署该功能，越靠近PC端口控制的越准确，而每个交换机的端口推荐只连接一台PC，否则如果交换机某端口下串接一个HUB，在HUB上连接了若干PC的话，那么如果凑巧该HUB下发生DHCP欺骗，由于欺骗报文都在HUB端口间直接转发了，没有受到接入层交换机的DHCP snooping功能的控制，这样的欺骗就无法防止了。

DHCP Snooping通常配合IP Source Guard功能实现防止用户私设静态IP，防止用户伪造IP进行内网扫描攻击的安全功能，配合ARP-Check还能实现防范ARP欺骗的安全功能。

功能简介：
DHCP Snooping