如何利用交换机和端口设置来管理DHCP(1)(2)

二、DHCP Snooping技术

DHCP Snooping是一种通过建立DHCP Snooping Binding数据库，过滤非信任的DHCP消息，从而保证网络安全的特性。DHCP Snooping就像是非信任的主机和DHCP服务器之间的防火墙。通过DHCP Snooping来区分连接到末端客户的非信任接口和连接到DHCP服务器或者其他交换机的受信任接口。

DHCP Snooping Binding数据库包括如下信息：MAC地址、IP地址、租约时间、binding类型、VLAN ID以及来自本地非信任端口的接口信息，但不包含通过受信任端口互相连接的接口信息。在启用了DHCP Snooping的VLAN中，如果交换机收到来自非信任端口的DHCP包，交换机将对目的MAC地址和DHCP客户端的地址进行对比，如果符合则该包可以通过，否则将被丢弃掉。

在下述情况中，DHCP包将同样被丢弃：

l 来自外网或者防火墙的DHCP服务器，包括DHCPOFFER、DHCPACK、DHCPNAK、DHCPLEASEQUERY。

l 来自非信任端口，且目的MAC地址和DHCP客户端的硬件地址不匹配。

l 交换机收到DHCPRELEASE或者DHCPDECLINE的广播信息，其MAC地址包含在DHCP snooping binding 数据库中，但与数据库中的接口信息不匹配

l 通过DHCP中继代理转发的包不包括在内