【HUAWEI&H3C】对比华为和华三的DHCP Relay和DHCP Snooping配置

最新推荐文章于 2024-05-08 10:02:12 发布

clover小洪爱网络

最新推荐文章于 2024-05-08 10:02:12 发布

阅读量1.4k

点赞数 1

分类专栏：网络设备原理与配置安全文章标签：华为华三 DHCP Snooping

本文链接：https://blog.youkuaiyun.com/u012468770/article/details/103911077

版权

本文详细介绍了华为和华三设备上DHCP Relay和DHCP Snooping的配置步骤，以及如何防范DHCP饿死攻击。通过配置示例，展示了如何在AR1和AR2上设置DHCP服务和中继，以及在LSW2上启用Snooping功能，确保网络安全。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原理

DHCP 饿死攻击

DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报文，向DHCP服务器申请大量的IP地址，导致DHCP服务器地址池中的地址耗尽，无法为合法的DHCP客户端分配IP地址，或导致DHCP服务器消耗过多的系统资源，无法处理正常业务。

如果封装DHCP请求报文的数据帧的源MAC地址各不相同，则通过mac-address max-mac-count命令限制端口可以学习到的MAC地址数，并配置学习到的MAC地址数达到最大值时，丢弃源MAC地址不在MAC地址表里的报文，能够避免攻击者申请过多的IP地址，在一定程度上缓解DHCP饿死攻击。此时，不存在DHCP饿死攻击的端口下的DHCP客户端可以正常获取IP地址，但存在DHCP饿死攻击的端口下的DHCP客户端仍可能无法获取IP地址。

如果封装DHCP请求报文的数据帧的MAC地址都相同，则通过mac-address max-mac-count命令无法防止DHCP饿死攻击。在这种情况下，需要启用DHCP Snooping的MAC地址检查功能。启用该功能后，DHCP Snooping设备检查接收到的DHCP请求报文中的chaddr字段和数据帧的源MAC地址字段是否一致。如果一致，则认为该报文合法，将其转发给DHCP服务器；如果不一致，则丢弃该报文。

拓扑图如下：