DHCP snooping、DHCP安全及威胁防范
SW1\]display dhcp snooping user-bind all，查看DHCP snooping表项。 **DHCP snooping：** 表项是通过服务器发送给客户端的ACK报文生成的。 只能在交换机上开启，路由器不支持，并且建议在接入交换机开启（汇聚和核心交换机开启没有意义） **主要原理：**当DHCP服务器给客户端回复ACK报文时，会在交换机连接终端的接口生成snooping表项。 **snooping表项包含：**MAC地址，IP地址，接口编号，VLAN-ID，租期信息。 snooping表项的老化时间根据租期而定，同时如果终端发送释放报文那么绑定表也会随之删除。 书签-DHCP主要的攻击方式： **一、DHCP饿死攻击：**攻击者伪装成主机向DHCP Server服务器请求IP分配，耗尽服务器的地址池地址，是的正常PC无法请求到可以使用的IP。 **1、防御饿死攻击：** 可以通过开启DHCP请求消息中数据链路层MAC地址和报文中CHADDR字段一致性检查，如果不一致就会认为是攻击，丢弃该报文。 \[SW1\]dhcp enable //首先，全局使能DHCP功能 \[SW1\]dhcp snooping enable //全局使能DHCP Snooping功能 \[SW1-GigabitEthernet0/0/1\]dhcp snooping enable //接口下使能DHCP snooping功能 \[SW1-vlan1\]dhcp snooping enable //在vlan视图下使能DHCP snooping，即在该vlan下的所有接口都使能 \[SW1-GigabitEthernet0/0/1\]dhcp snooping check dhcp-chaddr enable //开启chaddr一致性检查 如何判断发生了饿死攻击：可以通过检查DHCP服务器地址池分配是否存在异常来判断是否发生了饿死攻击！！！ **防御变异的饿死攻击：** 对于攻击者将帧源MAC和CHADDR的MAC同时修改的场景，一致性检查无效，实际该场景没有预防措施。 对于这种场景我们可以通过限制接口snooping表项数量来控制。 \[SW1-GigabitEthernet0/0/1\]dhcp snooping max-user-number 1\~1024个；//限制该接口学习snooping表项的数量 **2、DHCP客户端伪造DHCP报文攻击：** 攻击者仿冒合法用户发送request报文续租IP导致IP无法被正常回收，久而久之，将没有空闲IP分配给合法终端； 攻击者仿冒合法用户发送release报文释放IP地址，导致合法用户异常下线。 \[SW1-GigabitEthernet0/0/1\]dhcp snooping check dhcp-request enable //开启DHCP请求消息与绑定表匹配查询。 **3、非DHCP客户端伪造DHCP报文攻击：** \[SW1-GigabitEthernet0/0/1\]dhcp snooping sticky-mac，//开启设备基于DHCP snooping表项粘滞功能的MAC地址表学习机制，默认关闭MAC地址表学习功能，且报文不予转发。 功能相似：\[SW1-GigabitEthernet0/0/1\]mac-address learning disable action discard； 特别注意：一旦配置这条命令，这个接口就只能连接DHCP客户端，对于静态IP配置的终端无法进行通讯。 **4、DHCP报文泛洪攻击：** \[SW1\]DHCP snooping check dhcp-rate enable //全局开启接口处理DHCP报文的频率功能。用来防止PC一秒钟发送成千上万次的正常的DHCP请求 \[SW1\]dhcp snooping check dhcp-rate 1\~100 //每秒钟处理1\~100和DHCP数据包 **5、仿冒DHCP Server攻击：** 私接路由器等设备，成为假的DHCP Server给同网络的终端分配地址。（交换机出来的网线接入到路由器LAN口，LAN口默认开启了DHCP功能） 信任接口和非信任接口 启用了DHCP snooping功能的交换机所有接口默认情况下都是非信任接口 该接口没有snooping表项 **5.1**非信任接口收到DHCP请求消息时，只转发给信任接口。 非信任接口收到DHCP响应消息时，直接丢弃 **5.2** 信任接口收到了DHCP请求消息时，会转发给其他的信任接口，如果没有，将丢弃 信任接口收到了DHCP响应消息时，会发给非信任接口 \[SW1-GigabitEthernet0/0/3\]dhcp snooping trusted //将该接口配置为信任接口 **6、DHCP中间人攻击：** \[SW1\]arp dhcp-snooping-detect enable //全局开启基于DHCP snooping绑定表的动态ARP检测。