实例解析局域网防止私开DHCP服务器

　　第一步：开始->程序->管理工具->DHCP 中国网管论坛bbs.bitsCN.com

　　第二步：选择DHCP root, 用鼠标右键单击，然后浏览选择需要认证的服务器。 网管u家u.bitsCN.com

　　第三步：点“添加”按钮, 输入要认证的DHCP服务器IP地址, 完成授权操作。

　　但是该方法只适用于非法DHCP服务器是windows系统，需要用到域和活动目录，配置较复杂，另外对于非Windows的操作系统,就显得力不从心了。 网管网www_bitscn_com

　　还有更好的方法，就是利用交换机的DHCP监听，通过建立和维护DHCP Snooping绑定表过滤不可信任的DHCP信息，也就是过滤掉非法DHCP服务器向网络上发送的数据包。首先定义交换机上的信任端口和不信任端口，将DHCP服务器所连接的端口定义为信任端口，其它连接到普通客户端的端口全部定义为不信任端口，对于不信任端口的DHCP报文进行截获和嗅探，drop掉来自这些端口的非正常 DHCP 报文，从而达到过滤非法DHCP服务器的目的。 网管联盟bitsCN@com

　　基本配置示例：

　　switch(config)#ip dhcp snooping vlan 100,200 网管下载dl.bitscn.com

　　/* 定义哪些 VLAN 启用 DHCP 嗅探 网管联盟bitsCN@com

　　switch(config)#ip dhcp snooping 网管联盟bitsCN_com

　　switch(config)#int fa4/10 /* dhcp服务器所在端口 中国网管联盟bitsCN.com

　　switch(config-if)#ip dhcp snooping trust 网管u家u.bitsCN.com

　　switch(config)#int range fa3/1 - 48 /* 其它端口

网管u家u.bitsCN.com

　　switch(config-if)#no ip dhcp snooping trust (Default)

　　switch(config-if)#ip dhcp snooping limit rate 10 (pps)

中国网管联盟bitsCN.com

　　/* 一定程度上防止 DHCP 拒绝服 /* 务攻击 网管u家u.bitsCN.com