华为企业交换机，用DHCP SNOOPING防止私接小路由实验

导语：

在企业中，数据的安全一向是重要的，为了防止客户端私接小路由影响企业内部网络，华为企业交换机有这样的命令

Dhcp snooping 

思路：

合法的DHCP客户端使用，dhcp snooping trusted 

不合法的DHCP客户端使用，dhcp snooping enable

实验：

我们假设这样的一个场景，在企业网络架构中。核心交换机（CORE）下接了接入交换机（ACCESS），然后有非法客户端DHCP交换机（UNTRUST）接了接入交换机（ACCESS）的G0/0/24端口，拓补图如下。

实验思路：

CORE：创建VLAN 10,VLAN 20,分别配置VLAN10 ,VLAN 20的网段，为192.168.10.254，192.168.20.254，在G0/0/1端口做trunk，透传VLAN 10 ,20.

ACCESS：创建vlan10，20，使得PC1和PC2分别属于VLAN 10 ,20 ,并在G0/0/3，G0/0/24端口做trunk，透传VLAN10 ，20

UNTRUST：创建vlan10 ，20，创建VLANIF地址池，vlan10，192.168.100.254，vlan20 192.168.200.254，在G0/0/24端口下透传VLAN10，vlan20

实验目的：

当同时存在两个DHCP客户端的时候，且地址池都是VLAN10或VLAN20的地址池，那么PC获取地址的时候默认获取哪个地址池的呢？显然是可以获取到仿冒客户端的IP地址的，这也是我们不希望看到的。

我们尝试用dhcp snooping enbale等命令，验证被trust的端口才能合法获取IP地址，untrust端口获取不到它的地址。

本次实验上最终实现的就是，当ACCESS，G0/0/3端口是，dhcp snooping trusted 的时候，G0/0/24端口是dhcp snooping enable