过滤非法DHCP服务器

最新推荐文章于 2024-02-02 10:25:32 发布

zdl244

最新推荐文章于 2024-02-02 10:25:32 发布

阅读量2.3k

点赞数 2

分类专栏： H3C产品系列文章标签： dhcp snooping ACl 非法DHCP过滤

本文链接：https://blog.youkuaiyun.com/zdl244/article/details/103448785

版权

H3C产品系列专栏收录该内容

37 篇文章

订阅专栏

本文介绍两种有效防止非法DHCP服务器的方法：一是启用DHCPSnooping并配置信任接口；二是通过ACL过滤UDP端口67的数据包。适用于核心及接入层交换机，确保网络中合法DHCP服务的安全。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

过滤非法DHCP服务器

方法一：使用DHCP Snoonping。如果DHCP服务器在核心交换机上，则可以直接全局启动DHCP Snooping来拒绝所有接口的非法DHCP，但不会过滤本身的DHCP服务。
[H3C]dhcp snooping enable

1、如果信任的DHCP服务器在核心GE 1/0/1口，则配置信任接口即可
[H3C]interface GigabitEthernet 1/0/1
[H3C-GigabitEthernet1/0/1]dhcp snooping trust
[H3C-GigabitEthernet1/0/1]quit

2、为了使得接入层从核心交换机获取地址，接入层的上联口也需要配置DHCP信任接口
[SW]dhcp snooping enable
[SW]interface GigabitEthernet 1/0/1
[SW-GigabitEthernet1/0/1]dhcp snooping trust
[SW-GigabitEthernet1/0/1]quit

3、你也可以指定特定vlan:
[SW-vlan1]dhcp snooping trust interface GigabitEthernet 1/0/1

方法二：使用ACL过滤匹配接口来过滤，比较麻烦。
首先抓包分析要过滤什么？
在这里插入图片描述
发现过滤非法DHCP的源端口是UDP:67即可。
1、配置：
[H3C]acl advanced 3000
[H3C-acl-ipv4-adv-3000]rule 5 deny udp source-port eq 67
[H3C-acl-ipv4-adv-3000]quit

[H3C]interface range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/24 #GE 1/0/1口不过滤，信任
[H3C-if-range]packet-filter 3000 inbound #服务器回offer报文，入方向
[H3C-if-range]quit

2、如有接入层，配置类似：
[SW]acl advanced 3000
[SW-acl-ipv4-adv-3000]rule 5 deny udp source-port eq 67
[SW-acl-ipv4-adv-3000]quit

[SW]interface range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/24 #GE 1/0/1口不过滤，信任
[SW-if-range]packet-filter 3000 inbound #服务器回offer报文，入方向
[SW-if-range]quit

--------------------------------------------------------------------------------------------------------------------------------------------