防止dhcp攻击

一、如何防止饿死攻击。
开启了DHcP snooping 的交换机，收到DHCP Request消息之后，将会对比这个DHCP报文中的CHADDR和数据链路层中的源MAc地址是否相同，如果不同，则判断为非法报文，直接被交换机丢弃
接口下:dhcp snooping check dhcp-chaddr enable //开启二层源MAC和CHADDR一致性检查功能。
变异:攻击者产生的DHCP报文 把数据链路层的源MAc地址 和DHCP报文中的CHADDR同时修改，那么将会躲掉DHcP snooping一致性检查。
dhcp snooping max-user-number 5 //设置接口可以形成的绑定表数量。
dhcp snooping sticky-mac //根据DHCP nooping表项形成静态MAC地址表，同时关闭接口的MAC地址学习功能,同时接口自动启用如果不能进行源MAC学习，就会把报文丢弃的功能。

二、如何防止仿冒DHCP server攻击:
当在交换机上开启DCHp snooping功能之后，交换机的接口分为两种大类，一种叫做信任接口一种叫做非信任接口。非信任接口:收到DHCPReugest消息，只会转发给信任接口，如果没有信任接口，报文将会被丢弃。收到DHCP Relay消息，将会直接去弃。信任接口:收到DHCPReguest消息，只会转发给除了本接口以外的所有信任接口，如果没有其他信任接口，报文将会被丢弃收到DHCP Relay消息，将会转发给相应的客户端。
默认只要开启了DHCPSnooping功能的接口都是非信任接口。
接口下:dhcp snooping trusted //配置接口为信任接口。

三、如何防止DHCP中间人攻击:
开启DHCPsnooping的交换机，收到ARP报文之后，将会读取ARP报文中的源MAC地址和源IP地址，和snooping绑定表做匹配检查如果匹配检查不一致，那么将会判断此ARP报文不是和合法报文，将丢弃此ARP报文。
系统视图下执行配置命令:arp dhcp-snooping-detect enable //开启ARP报文和snooping 绑定表匹配检查功能。

四、如何防止伪造源IP攻击:
IPSG作用:主要用于防止源IP地址欺骗攻击。
实现原理:通过在交换机上配置绑定表(IPMACVLANID端口)，来针对收到的IP报文进行匹配检查。(基于IP封装的数据报文)，如果报文不符合绑定表，则报文被丢弃。
两种绑定表项:
1、静态绑定表:需要人为手动配置的绑定表项，叫做静态绑定表。
2、动态绑定表:动态绑定表，基于DHCPsnooping功能产生的snooping表项来进行实现保护，说自了动态绑定表就是DHCP Snooping的表项，而我们是通过这个Snooping绑定表项来实现IPSG的功能。
配置:
[Huawei] user-bind static ip-address 192.168.1.1 mac-address 5489-984c-7b2e interface g0/0/2 vlan
创建静态绑定端口或者vlan下: ip source check user-bind enable //开启DHCPSnooping与IPSG的联动功能，即基于Snooping表项实现IPSG的功能。