版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
1、DHCP Snooping配置介绍DHCP Snooping的原理和配置方法,并给出配置举例。配置DHCP Snooping的攻击防范功能示例组网需求如图9-13所示,SwitchA与SwitchB为接入设备,SwitchC为DHCP Relay。Client1与Client2分别通过GE0/0/1与GE0/0/2接入SwitchA,Client3通过GE0/0/1接入SwitchB,其中Client1与Client3通过DHCP方式获取IPv4地址,而Client2使用静态配置的IPv4地址。网络中存在非法用户的攻击导致合法用户不能正常获取IP地址,管理员希望能够防止网络中针对DHCP的攻击
2、,为DHCP用户提供更优质的服务。图9-13 配置DHCP Snooping的攻击防范功能组网图 配置思路采用如下的思路在SwitchC上进行配置。1. 使能DHCP Snooping功能并配置设备仅处理DHCPv4报文。 2. 配置接口的信任状态,以保证客户端从合法的服务器获取IP地址。 3. 使能ARP与DHCP Snooping的联动功能,保证DHCP用户在异常下线时实时更新绑定表。 4. 使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能,以防止非DHCP用户攻击。 5. 使能对DHCP报文进行绑定表匹配检查的功能,防止仿冒DHCP报文攻击。 6. 配置DHCP报文上
3、送DHCP报文处理单元的最大允许速率,防止DHCP报文泛洪攻击。 1 / 87. 配置允许接入的最大用户数以及使能检测DHCP Request报文帧头MAC与DHCP数据区中CHADDR字段是否一致功能,防止DHCP Server服务拒绝攻击。 操作步骤1. 使能DHCP Snooping功能。 # 使能全局DHCP Snooping功能并配置设备仅处理DHCPv4报文。<HUAWEI> system-viewHUAWEI sysname SwitchCSwitchC dhcp enableSwitchC dhcp snooping enable ipv4# 使能用户侧接口的DHC
4、P Snooping功能。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping enableSwitchC-GigabitEthernet0/0/1 quit2. 配置接口的信任状态:将连接DHCP Server的接口状态配置为“Trusted”。 3. SwitchC interface gigabitethernet 0/0/34. SwitchC-GigabitEthernet0/0/3 dhcp snooping t
5、rustedSwitchC-GigabitEthernet0/0/3 quit5. 使能ARP与DHCP Snooping的联动功能。 SwitchC arp dhcp-snooping-detect enable6. 使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能。 # 在用户侧接口进行配置。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping sticky-macSwitchC-GigabitEth
6、ernet0/0/1 quit7. 使能对DHCP报文进行绑定表匹配检查的功能。 # 在用户侧接口进行配置。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping check dhcp-request enableSwitchC-GigabitEthernet0/0/1 quit8. 配置DHCP报文上送DHCP报文处理单元的最大允许速率为90pps。 9. SwitchC dhcp snooping check dhcp-r
7、ate enableSwitchC dhcp snooping check dhcp-rate 9010. 使能检测DHCP Request报文中GIADDR字段是否非零的功能。 # 在用户侧接口进行配置。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping check dhcp-giaddr enableSwitchC-GigabitEthernet0/0/1 quit11. 配置接口允许接入的最大用户数并使能对CHADD
8、R字段检查功能。 # 在用户侧接口进行配置。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping max-user-number 20SwitchC-GigabitEthernet0/0/1 dhcp snooping check dhcp-chaddr enableSwitchC-GigabitEthernet0/0/1 quit12. 配置丢弃报文告警和报文限速告警功能。 # 使能丢弃报文告警功能,并配置丢弃报文告警阈值
9、。以GE0/0/1接口为例,GE0/0/2的配置相同,此处省略。SwitchC interface gigabitethernet 0/0/1SwitchC-GigabitEthernet0/0/1 dhcp snooping alarm dhcp-chaddr enableSwitchC-GigabitEthernet0/0/1 dhcp snooping alarm dhcp-request enableSwitchC-GigabitEthernet0/0/1 dhcp snooping alarm dhcp-reply enableSwitchC-GigabitEthernet0/0/1
10、 dhcp snooping alarm dhcp-chaddr threshold 120SwitchC-GigabitEthernet0/0/1 dhcp snooping alarm dhcp-request threshold 120SwitchC-GigabitEthernet0/0/1 dhcp snooping alarm dhcp-reply threshold 120SwitchC-GigabitEthernet0/0/1 quit# 使能报文限速告警功能,并配置报文限速告警阈值。SwitchC dhcp snooping alarm dhcp-rate enableSwit
11、chC dhcp snooping alarm dhcp-rate threshold 50013. 验证配置结果 # 执行命令display dhcp snooping configuration查看DHCP Snooping的配置信息。SwitchC display dhcp snooping configuration# dhcp snooping enable ipv4 dhcp snooping check dhcp-rate enable dhcp snooping check dhcp-rate 90 dhcp snooping alarm dhcp-rate enable dh
12、cp snooping alarm dhcp-rate threshold 500 arp dhcp-snooping-detect enable # interface GigabitEthernet0/0/1 dhcp snooping enable dhcp snooping check dhcp-giaddr enable dhcp snooping check dhcp-request enable dhcp snooping alarm dhcp-request enable dhcp snooping alarm dhcp-request threshold 120 dhcp s
13、nooping check dhcp-chaddr enable dhcp snooping alarm dhcp-chaddr enable dhcp snooping alarm dhcp-chaddr threshold 120 dhcp snooping alarm dhcp-reply enable dhcp snooping alarm dhcp-reply threshold 120 dhcp snooping max-user-number 20# interface GigabitEthernet0/0/2 dhcp snooping enable dhcp snooping
14、 check dhcp-giaddr enable dhcp snooping check dhcp-request enable dhcp snooping alarm dhcp-request enable dhcp snooping alarm dhcp-request threshold 120 dhcp snooping check dhcp-chaddr enable dhcp snooping alarm dhcp-chaddr enable dhcp snooping alarm dhcp-chaddr threshold 120 dhcp snooping alarm dhc
15、p-reply enable dhcp snooping alarm dhcp-reply threshold 120 dhcp snooping max-user-number 20# interface GigabitEthernet0/0/3 dhcp snooping trusted # # 执行命令display dhcp snooping interface查看接口下的DHCP Snooping运行信息。SwitchC display dhcp snooping interface gigabitethernet 0/0/1 DHCP snooping running inform
16、ation for interface GigabitEthernet0/0/1 : DHCP snooping : Enable Trusted interface : No Dhcp user max number : 20 Current dhcp and nd user number : 0 Check dhcp-giaddr : Enable Check dhcp-chaddr : Enable Alarm dhcp-chaddr : Enable Alarm dhcp-chaddr threshold : 120 Discarded dhcp packets for check c
17、haddr : 0 Check dhcp-request : Enable Alarm dhcp-request : Enable Alarm dhcp-request threshold : 120 Discarded dhcp packets for check request : 0 Check dhcp-rate : Disable (default) Alarm dhcp-rate : Disable (default) Alarm dhcp-rate threshold : 500 Discarded dhcp packets for rate limit : 0 Alarm dh
18、cp-reply : Enable Alarm dhcp-reply threshold : 120 Discarded dhcp packets for check reply : 0 SwitchC display dhcp snooping interface gigabitethernet 0/0/3 DHCP snooping running information for interface GigabitEthernet0/0/3 : DHCP snooping : Disable (default) Trusted interface : Yes Dhcp user max n
19、umber : 1024 (default) Current dhcp and nd user number : 0 Check dhcp-giaddr : Disable (default) Check dhcp-chaddr : Disable (default) Alarm dhcp-chaddr : Disable (default) Check dhcp-request : Disable (default) Alarm dhcp-request : Disable (default) Check dhcp-rate : Disable (default) Alarm dhcp-ra
20、te : Disable (default) Alarm dhcp-rate threshold : 500 Discarded dhcp packets for rate limit : 0 Alarm dhcp-reply : Disable (default) 配置文件# SwitchC的配置文件# sysname SwitchC# dhcp enable # dhcp snooping enable ipv4 dhcp snooping check dhcp-rate enable dhcp snooping check dhcp-rate 90 dhcp snooping alarm
21、 dhcp-rate enable dhcp snooping alarm dhcp-rate threshold 500 arp dhcp-snooping-detect enable #interface GigabitEthernet0/0/1 dhcp snooping sticky-mac dhcp snooping enable dhcp snooping check dhcp-giaddr enable dhcp snooping check dhcp-request enable dhcp snooping alarm dhcp-request enable dhcp snooping alarm dhcp-request threshold 120 dhcp snooping check dhcp-chaddr enabl
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- web动漫网页课课程设计
- 链传动张紧 课程设计
- 调节装置盘课程设计
- 课程设计凸轮零件
- 信息咨询劳务合同模板
- 农资市场租房合同模板
- 介入耗材合同模板
- 代加工中介合同模板
- 单位诊所工作合同模板
- 公寓买房定金合同模板
- 钢结构质量检验计划
- 九年级英语全册单元测试题全套带答案(人教版新目标)
- 收发文登记台账(模板)
- 《保险合同》测试题
- 人教pep六年级上册英语 《Unit3 My weekend plan A Let's talk》教案
- 小学生体育课安全知识问卷调查
- 瓦斯抽采工安全技术专训(PPT123张)
- 原长沙铬盐厂铬污染场地土壤修复技术方案定稿版
- 变更验收单-模板
- (新版教材)粤教粤科版二年级上册科学全册课时练(同步练习)
- 思维导图模板彩色版
评论
0/150
提交评论