H3C S3100-SI系列交换机利用DHCP Snooping防止内网私自接入DHCPServer

Posted 2020-11-03

H3C 3100 SI系列的交换机与其他高端系列相比，功能方面相对弱了很多，而DHCP Snooping 功能支持也有差异。

正常情况下，设备启用了DHCP Snooping之后，所有端口都属于不受信任端口，我们可以将直接或者间接连接至DHCPSnooping的端口通过 "dhcp-snooping trust"命令设置为信任端口，其他端口则默认属于不受信任端口，这样就可以通过dhcp ack和dhcp offer 包来屏蔽掉非法的dhcp server.

而3100 SI系列启用dhcp snooping后，默认所有端口都是可信任端口。 这样就导致了单纯启用dhcp snooping 起不到屏蔽非法dhcp server的作用。

因此 3100 SI系列交换机多了一项DHCP防伪冒功能，这个功能的原理就是交换机会从启用防伪冒功能的端口向外发送DHCP-DISCOVER报文，用于探测连接到该端口的DHCP服务器，如果接收到回应报文DHCP-OFFER报文，则认为该端口连接了仿冒的DHCP服务器，交换机会根据配置的处理策略进行处理，通常可以配置的策略为trap和shutdown。

配置非常简单：

#全局启用dhcp snooping:
[6FB-S3100-57]dhcp-snooping
#在直接连接dhcp 客户端的端口上启用防伪冒功能和处理策略
[6FB-S3100-57-Ethernet1/0/33]dhcp-snooping server-guard enable

[6FB-S3100-57-Ethernet1/0/33]dhcp-snooping server-guard method shutdown

当对应端口接入非法dhcp server 后，交换机会自动将端口管理型shutdown.
看一下日志：

2018-05-10 14:01:55 Local7.Alert    172.16.1.57 May 10 14:01:55 2018 6FB-S3100-57 %%10DHCP-SNP/2/DHCPSNOOPING SERVER GUARD(t):- 1 -  Trap 1.3.6.1.4.1.2011.10.2.36.2.0.1(h3cDhcpSnoopSpoofServerDetected): portIndex 4227882 detect DHCP server in VLAN 4 MAC is 1c.39.47.c6.a8.a2 IP is 172.16.4.21  
2018-05-10 14:01:55 Local7.Warning  172.16.1.57 May 10 14:01:55 2018 6FB-S3100-57 %%10DHCP-SNP/5/dhcp-snooping server guard(l):- 1 -   Port 33 detect DHCP server in VLAN 4 MAC is 1c39-47c6-a8a2 IP is 172.16.4.21   
2018-05-10 14:01:56 Local7.Alert    172.16.1.57 May 10 14:01:56 2018 6FB-S3100-57 %%10L2INF/2/PORT LINK STATUS CHANGE(t):- 1 -  Trap 1.3.6.1.6.3.1.1.5.3(linkDown): portIndex is 4227882, ifAdminStatus is 2, ifOperStatus is 2 
2018-05-10 14:01:56 Local7.Warning  172.16.1.57 May 10 14:01:56 2018 6FB-S3100-57 %%10L2INF/5/PORT LINK STATUS CHANGE(l):- 1 -  Ethernet1/0/33 is DOWN  

这样我们可以通过监控平台监控交换机的端口管理状态（正常为1，管理性关闭变为2）即可及时知道哪些端口介入了非法DHCP Server,如下图示