防止私接小路由器

电脑获取到IP地址不是DHCP服务器的IP地址段，导致整个公司网络瘫痪，这些故障现象通常80%原因是私接小路由器导致的，以下防止私接小路由器措施。

一、交换机配置DHCP Sooping

DHCP snooping是一种DHCP安全特性，用于防止非法设备获取DHCP分配的IP地址。在一个带有多个交换机的网络中，可以配置交换机以便它们对DHCP数据包进行监听和记录。

配置思路：用户终端接口开启DNCP Snooping功能，配置信任接口只接收DHCP服务器报文，这样用户终端即使接私接小路由，也无法发送DHCP报文。

配置参考如下：

1、全局开启DHCP

$Sw1$ dhcp enable

2、使能用户侧接口的DHCP Snooping功能，假设3口为用户终端端口

$Sw1$ interface ge 1/0/3

$Sw1-ge1/0/3$ dhcp snooping enable

3、配置信任接口，假设该口接DHCP服务器，以2口为例

$Sw1$ interface ge 0/0/2

$SSw1-ge0/0/2$ dhcp snooping trusted

二、交换机配置端口安全

端口安全是根据MAC地址对网络流量进行控制和管理的安全功能，该功能不仅将MAC地址与端口绑定，还可以限制端口学到的MAC地址的数量。端口安全功能可以阻止非法用户通过本端口和交换机通信，从而增强网络的安全性。

思路：用户终端侧接口开启终端安全并只允许学习一个MAC地址，发现私接小路由器后，接口学习到2个MAC地址，就自动shutdown，减少对现网影响。

配置参考如下：

1、在用户终端侧端口配置端口安全

$Sw1$ interface ge1/0/3

$Sw1-ge1/0/3$ port-security enable

2、限制端口学习MAC地址数量：

$Sw1-ge1/0/3$ port-security mac-address sticky

3、安全MAC地址限制数量为1

$Sw1-ge1/0/3$ port-security max-mac-num 1

4、发现非法接入设备，直接关闭端口并告警

$Sw1-ge1/0/3$ port-security protect-action shutdown

三、交换机配置ACL访问控制

ACL（Access Control List，访问控制列表）是一种基于包过滤的访问控制技术，主要用于对网络流量进行控制和管理。ACL限制非法DHCP服务器接入的思路：DHCP 客户端使用源端口68发送数据包，服务端使用源端口67发送数据包，可限制用户终端接口67端口。

配置思路：通过ACL限制用户终端接口发送DHCP报文，进而即使私接小路由器也不会对现网产生影响。

配置参考如下：

1、配置ACL 3000

$SW1$ acl 3000

2、配置规则，拒绝UDP 67端口

$SW1-acl-adv-3000$ rule 5 deny udp source-port eq 67

$SW1-acl-adv-3000$ rule 10 permit ip

3、ACL规则在用户终端接口应用

$SW1-acl-adv-3000$ port-group group-member ge1/0/3 to ge1/0/4

$SW1-acl-adv-3000$ traffic-filter inbound acl 3000

四、交换机配置Vlan隔离

VLAN 隔离技术根据特定的策略，把物理上形成的局域网（Local Area Network，LAN）划分成不同的逻辑子网，把数据链路层广播报文隔离在逻辑子网之内，形成各自的广播域，每个逻辑子网就是一个"虚拟的局域网（Virtual LAN）"每个接入至支持 VLAN 的交换机的终端设备，都属于一个特定的 VLAN，不同 VLAN 中的终端设备无法直接通过数据链路层通信。VLAN 技术有效限制了广播报文的传输范围，一定程度上抑制了广播风暴，提高了网络的安全性。

思路：将终端用户接口互相隔离，防止非法DHCP服务器对现网其他终端造成影响。

配置思路：开启vlan隔离，即使用户终端接口私接小路由器，也不会影响其他终端。

参考配置如下：

1、进入接口视图,以3口举例

$SW1$ interface ge1/0/3

2、配置VLAN 10为隔离VLAN，只允许VLAN 10的数据通过，假设用户终端vlan 10

$SW1-ge1/0/3$ port isolate enable vlan 10