下载文档原格式
1.S3700 DHCP Snooping 配置1.1配置防止DHCP Server 仿冒者的攻击防止DHCP Server 仿冒者攻击的基本配置过程，包括配置信任接口、配置DHCPReply 报文丢弃告警功能。
#dhcp enabledhcp snooping enabledhcp server detect#interface GigabitEthernet0/0/1dhcp snooping enabledhcp snooping trusted#interface GigabitEthernet0/0/2dhcp snooping enabledhcp snooping alarm untrust-reply enabledhcp snooping alarm untrust-reply threshold 120在端口下配置dhcp snooping 后默认成为untrusted端口1.2配置防止改变CHADDR 值的DoS 攻击示例如果攻击者改变的不是数据帧头部的源MAC，而是通过改变DHCP 报文中的CHADDR （Client Hardware Address）值来不断申请IP 地址，而S3700 仅根据数据帧头部的源MAC 来判断该报文是否合法，那么MAC 地址限制不能完全起作用，这样的攻击报文还是可以被正常转发。
为了避免受到攻击者改变CHADDR 值的攻击，可以在S3700 上配置DHCP Snooping 功能，检查DHCP Request 报文中CHADDR 字段。
如果该字段跟数据帧头部的源MAC 相匹配，转发报文；否则，丢弃报文Switch 应用在用户网络和ISP 的二层网络之间，为防止攻击者通过改变CHADDR 值进行DoS 攻击，要求在Switch 上应用DHCP Snooping 功能。
检查DHCPRequest 报文中CHADDR 字段，如果该字段跟数据帧头部的源MAC 相匹配，便转发报文；否则丢弃报文。
9 MLD Snooping配置关于本章MLD Snooping配置在二层组播设备上，通过对上游三层设备和下游用户之间的MLD报文进行分析，建立和维护IPv6的二层组播转发表，实现组播数据报文在数据链路层的按需分发。
注意事项端口作为VPLS AC侧的接入端口时，如果该端口同时还作为组播流入接口，会导致对应组播数据无法正常转发。
9.1 MLD Snooping概述MLD Snooping (Multicast Listener Discovery Snooping)是一种IPv6二层组播协议，通过侦听三层组播设备和用户主机之间发送的组播协议报文来维护组播报文的出接口信息，从而管理和控制组播数据报文在数据链路层的转发。
9.2 设备支持的MLD Snooping特性设备支持的MLD Snooping特性包括：MLD Snooping基本功能、MLD Snooping策略、成员快速刷新等。
9.3 缺省配置介绍缺省情况下，MLD Snooping的配置信息。
9.4 配置MLD Snooping基本功能配置MLD Snooping基本功能，设备可以建立并维护IPv6二层组播转发表，实现组播数据报文在数据链路层的按需分发。
9.5 配置MLD Snooping策略通过配置MLD Snooping策略，可以控制用户对组播节目的点播，提高二层组播网络的可控性和安全性。
9.6 配置成员关系快速刷新配置成员关系快速刷新，使组播组成员加入或者离开组播组时设备能够快速响应成员变化，可以提高组播业务运行效率和用户体验。
9.7 维护MLD SnoopingMLD Snooping的维护，包括清除MLD Snooping表项、清除MLD Snooping的统计信息、监控MLD Snooping运行状态。
9.8 配置举例针对如何在IPv6组播网络中配置MLD Snooping 基本功能、静态端口、MLD Snooping 查询器、成员端口快速离开、响应拓扑变化发送查询报文，分别提供配置举例。
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP平安特性，在配置DHCP Snooping各平安功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1配置DHCP Snooping根本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP 效劳器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口〔如图中的接口if1、if2和if3〕或其所属VLAN〔如图中的VLAN 10〕使能DHCP Snooping功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4DHCPv4 Snoopingipv6DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable#使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，假设某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
华为交换机DHCP服务的配置PC1目的：给主机分配ip地址注意：dhcp服务器自己要有ip地址启用dhcp服务排除地址的设置保留地址的设置网关和dns的设置<Huawei>sy[Huawei]dhcpenable〃启用dhcp服务[Huawei]undoinfo-centerenable[Huawei]interfacevlan1[Huawei-Vlanifl]ipaddress192.168.1.124〃给vlanl配置地址做为要分配的网关[Huawei-Vlanifl]dhcpselectinterface〃dhcp选择接口模式（即使用Vlanl接口）[Huawei-Vlanifl]dhcpservere×cluded-ip-address192.168.1.200192.168.1.254〃排除L200到1.254的地址，不分配给客户机[Huawei-Vlanifl]dhcpservere×cluded-ip-address192.168.1.2〃排除单个地址192.168.1.2不分配[Huawei-Vlanifl]dhcpserverstatic-bindip-address192.168.1.88mac-address5489-980B-06FC〃配置保留地址（192.168.1.88保留给mac地址为5489-980B-06FC 的主机pc2）,无论他第几个开机，都能获取该ip地址[Huawei-Vlanifl]dhcpserverdns-list114.114.114.114202.102.224.68〃配置要分配的dns地址[Huawei-Vlanifl]dhcpserverleaseday1hour0minute0〃配置地址池的租约[Huawei-Vlanifl]测试：。
交换机配置指导文档文档作者：刘永渝文档密级：内部公开修订日期：2011年12月28 日变更记录注：对该文档内容的增加、删除或修改均需填写此记录，详细记载变更信息，以保证其可追溯性。
目录1前言 (2)1.1文档目的 (2)1.2术语和缩略语 (2)1.3参考资料 (2)2功能概述 (2)3工作原理 (2)4实现方式 (3)5报文流程 ........................................................................................................... 错误!未定义书签。
6应用场景 (4)6.1拓扑结构 (4)6.2场景分析 (4)6.3CLI配置 (4)附录.............................................................................................................................. 错误!未定义书签。
1 前言1.1 文档目的1.2 术语和缩略语【简单描述文档中涉及到的术语和缩略语】1.3 参考资料【罗列出有助于理解该产品功能的相关文档，如RFC或相关书籍等】2 功能概述1.dhcp-snooping的主要作用就是隔绝非法的dhcp server，通过配置非信任端口。
2.与交换机DAI的配合，防止ARP病毒的传播。
3.建立和维护一张dhcp-snooping的绑定表，这张表一是通过dhcp ack包中的ip和mac地址生成的，二是可以手工指定。
这张表是后续DAI（dynamic arp inspect）和IP Source Guard 基础。
这两种类似的技术，是通过这张表来判定ip或者mac地址是否合法，来限制用户连接到网络的。
3 工作原理DHCP Snooping技术是DHCP安全特性，通过建立和维护DHCP Snooping绑定表过滤不可信任的DHCP信息，这些信息是指来自不信任区域的DHCP信息。
6 IGMP Snooping配置关于本章IGMP Snooping配置在二层组播设备上，通过对上游三层设备和下游用户之间的IGMP报文进行分析，建立和维护二层组播转发表，实现组播数据报文在数据链路层的按需分发。
注意事项端口作为VPLS AC侧的接入端口时，如果该端口同时还作为组播流入接口，会导致对应组播数据无法正常转发。
6.1 IGMP Snooping概述IGMP Snooping (Internet Group Management Protocol Snooping)是一种IPv4二层组播协议，通过侦听三层组播设备和用户主机之间发送的组播协议报文来维护组播报文的出接口信息，从而管理和控制组播数据报文在数据链路层的转发。
6.2 设备支持的IGMP Snooping特性设备支持的IGMP Snooping特性包括：IGMP Snooping基本功能、IGMP SnoopingProxy功能、IGMP Snooping策略、成员关系快速刷新以及IGMP Snooping SSMMapping等。
6.3 缺省配置介绍缺省情况下，IGMP Snooping的配置信息。
6.4 配置IGMP Snooping基本功能配置IGMP Snooping基本功能，设备可以建立并维护二层组播转发表，实现组播数据报文在数据链路层的按需分发。
6.5 配置IGMP Snooping ProxyIGMP Snooping Proxy功能在IGMP Snooping的基础上使交换机代替上游三层设备向下游主机发送IGMP Query报文和代替下游主机向上游设备发送IGMP Report和Leave报文，这样能够有效的节约上游设备和本设备之间的带宽。
6.6 配置IGMP Snooping策略通过配置IGMP Snooping策略，可以控制用户对组播节目的点播，提高二层组播网络的可控性和安全性。
6.7 配置成员关系快速刷新配置成员关系快速刷新，使组播组成员加入或者离开组播组时设备能够快速响应成员变化，可以提高组播业务运行效率和用户体验。
华为交换机DHCP snooping配置教程DHCP Snooping是一种DHCP安全特性，在配置DHCP Snooping各安全功能之前需首先使能DHCP Snooping功能。
使能DHCP Snooping功能的顺序是先使能全局下的DHCP Snooping功能，再使能接口或VLAN下的DHCP Snooping功能。
图1 配置DHCP Snooping基本功能组网图如上图1所示，Switch_1是二层接入设备，将用户PC的DHCP请求转发给DHCP服务器。
以Switch_1为例，在使能DHCP Snooping功能时需要注意：使能DHCP Snooping功能之前，必须已使用命令dhcp enable使能了设备的DHCP功能。
全局使能DHCP Snooping功能后，还需要在连接用户的接口（如图中的接口if1、if2和if3）或其所属VLAN（如图中的VLAN 10）使能DHCP Snooping 功能。
当存在多个用户PC属于同一个VLAN时，为了简化配置，可以在这个VLAN 使能DHCP Snooping功能。
请在二层网络中的接入设备或第一个DHCP Relay上执行以下步骤。
1、使能DHCP Snooping功能[Huawei]dhcp snooping enable ?ipv4 DHCPv4 Snoopingipv6 DHCPv6 Snoopingvlan Virtual LAN<cr>或[Huawei]dhcp snooping over-vpls enable # 使能设备在VPLS网络中的DHCP Snooping功能或[Huawei-vlan2]dhcp snooping enable[Huawei-GigabitEthernet0/0/3]dhcp snooping enable2、配置接口信任状态[Huawei-GigabitEthernet0/0/2]dhcp snooping trusted或[Huawei-vlan3]dhcp snooping trusted interface GigabitEthernet 0/0/63、去使能DHCP Snooping用户位置迁移功能在移动应用场景中，若某一用户由接口A上线后，切换到接口B重新上线，用户将发送DHCP Discover报文申请IP地址。
缺省情况下设备使能DHCP Snooping功能之后将允许该用户上线，并刷新DHCP Snooping绑定表。
但是在某些场景中，这样的处理方式存在安全风险，比如网络中存在攻击者仿冒合法用户发送DHCP Discover报文，最终导致DHCP Snooping绑定表被刷新，合法用户网络访问中断。
此时需要去使能DHCP Snooping用户位置迁移功能，丢弃DHCP Snooping 绑定表中已存在的用户（用户MAC信息存在于DHCP Snooping绑定表中）从其他接口发送来的DHCP Discover报文。
[Huawei]undo dhcp snooping user-transfer enable4、配置ARP与DHCP Snooping的联动功能DHCP Snooping设备在收到DHCP用户发出的DHCP Release报文时将会删除该用户对应的绑定表项，但若用户发生了异常下线而无法发出DHCP Release报文时，DHCP Snooping设备将不能够及时的删除该DHCP用户对应的绑定表。
使能ARP与DHCP Snooping的联动功能，如果DHCP Snooping表项中的IP地址对应的ARP表项达到老化时间，则DHCP Snooping设备会对该IP 地址进行ARP探测，如果在规定的探测次数内探测不到用户，设备将删除用户对应的ARP表项。
之后，设备将会再次按规定的探测次数对该IP地址进行ARP 探测，如果最后仍不能够探测到用户，则设备将会删除该用户对应的绑定表项。
只有设备作为DHCP Relay时，才支持ARP与DHCP Snooping的联动功能。
[Huawei]arp dhcp-snooping-detect enable5、配置用户下线后及时清除对应MAC表项功能当某一DHCP用户下线时，设备上其对应的动态MAC表项还未达到老化时间，则设备在接收到来自网络侧以该用户IP地址为目的地址的报文时，将继续根据动态MAC表项转发此报文。
这种无效的报文处理在一定程度上将会降低设备的性能。
设备在接收到DHCP用户下线时发送DHCP Release报文后，将会立刻删除用户对应的DHCP Snooping绑定表项。
利用这种特性，使能当DHCP Snooping动态表项清除时移除对应用户的MAC表项功能，则当用户下线时，设备将会及时的移除用户的MAC表项。
[Huawei]dhcp snooping user-offline remove mac-address6、配置丢弃GIADDR字段非零的DHCP报文DHCP报文中的GIADDR（Gateway Ip Address）字段记录了DHCP报文经过的第一个DHCP Relay的IP地址，当客户端发出DHCP请求时，如果服务器和客户端不在同一个网段，那么第一个DHCP Relay在将DHCP请求报文转发给DHCP服务器时，会把自己的IP地址填入此字段，DHCP服务器会根据此字段来判断出客户端所在的网段地址，从而选择合适的地址池，为客户端分配该网段的IP地址。
图1 多DHCP中继场景下DHCP报文处理流程（以DHCP Request 报文为例）如上图1所示，在为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上（如图中的DHCP Relay1设备）。
故DHCP Snooping设备接收到的DHCP报文中GIADDR字段必然为零，若不为零则该报文为非法报文，设备需丢弃此类报文。
在DHCP中继使能DHCP Snooping场景中，建议配置该功能。
通常情况下，PC发出的DHCP报文中GIADDR字段为零。
在某些情况下，PC发出的DHCP报文中GIADDR字段不为零，可能导致DHCP服务器分配错误的IP地址。
为了防止PC用户伪造GIADDR字段不为零的DHCP报文申请IP 地址，建议配置该功能。
[Huawei]dhcp snooping check dhcp-giaddr enable vlan ?INTEGER<1-4094> Virtual LAN ID或[Huawei-vlan5]dhcp snooping check dhcp-giaddr enable或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-giaddr enable7、使能DHCP Server探测功能在使能DHCP Snooping功能并配置了接口的信任状态之后，设备将能够保证客户端从合法的服务器获取IP地址，这将能够有效的防止DHCP Server仿冒者攻击。
但是此时却不能够定位DHCP Server仿冒者的位置，使得网络中仍然存在着安全隐患。
通过配置DHCP Server探测功能，DHCP Snooping设备将会检查并在日志中记录所有DHCP回应报文中携带的DHCP Server地址与接口等信息，此后网络管理员可根据日志来判定网络中是否存在伪DHCP Server进而对网络进行维护。
[Huawei]dhcp server detect8、防止DHCP报文泛洪攻击在DHCP网络环境中，若存在DHCP用户短时间内向设备发送大量的DHCP 报文，将会对设备的性能造成巨大的冲击以致可能会导致设备无法正常工作。
通过使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能将能够有效防止DHCP报文泛洪攻击。
8.1、使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能[Huawei-vlan3]dhcp snooping check dhcp-rate enable # 接口视图下命令一样或[Huawei]dhcp snooping check dhcp-rate enable ?INTEGER<1-100> Rate value (Unit:pps)alarm Alarmvlan Virtual LAN<cr>8.2、DHCP报文上送DHCP报文处理单元的最大允许速率[Huawei-vlan3]dhcp snooping check dhcp-rate ?INTEGER<1-100> Rate value (Unit:pps)enable Enable[Huawei-vlan3]dhcp snooping check dhcp-rate 808.3、使能当丢弃的DHCP报文数达到告警阈值时的告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate enable8.4、配置接口下被丢弃的DHCP报文的告警阈值[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate threshold ?INTEGER<1-1000> Threshold value (Unit:packets)9、防止仿冒DHCP报文攻击在DHCP网络环境中，若攻击者仿冒合法用户的DHCP Request报文发往DHCP Server，将会导致用户的IP地址租约到期之后不能够及时释放，以致合法用户无法使用该IP地址；若攻击者仿冒合法用户的DHCP Release报文发往DHCP Server，将会导致用户异常下线。
在生成DHCP Snooping绑定表后，设备可根据绑定表项，对DHCP Request 报文或DHCP Release报文进行匹配检查，只有匹配成功的报文设备才将其转发，否则将丢弃。
这将能有效的防止非法用户通过发送伪造DHCP Request或DHCP Release 报文冒充合法用户续租或释放IP地址。
9.1、使能对从指定VLAN内上送的DHCP报文进行绑定表匹配检查的功能[Huawei]dhcp snooping check dhcp-request enable vlan ? INTEGER<1-4094> Virtual LAN ID或[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-request enable9.2、使能与绑定表不匹配而被丢弃的DHCP报文数达到阈值时的DHCP Snooping告警功能[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-request enable9.3、DHCP Snooping丢弃报文数量的告警阈值。
