1 DHCP Snooping 概述
DHCP Snooping功能用于防止
1、DHCP Server仿冒者攻击；
2、中间人攻击与IP/MAC Spoofing攻击；
3、改变CHADDR值的DoS攻击。
1.2 DHCP Server 仿冒者攻击
1.3 中间人与IP/MAC Spoofing 攻击
1.4 改变CHADDR 值的DoS 攻击
CHADDR：Client Hardware Address；
攻击者改变的不是数据帧头部的源MAC 地址，而是改变DHCP 报文中的CHADDR；
检查DHCP Request 报文中CHADDR 字段。
1.5 Option82（仿冒DHCP续租报文攻击）
2 DHCP Snooping典型应用场景
DHCP Snooping功能用于防止：
DHCP Server仿冒者攻击；
中间人攻击与IP/MAC Spoofing攻击；
改变CHADDR值的DoS攻击；
Option82 。
| 攻击类型 | DHCP Snooping工作模式 |
|---|---|
| DHCP Server仿冒者攻击 | 信任（Trusted）/不信任（Untrusted） |
| 中间人攻击/IP/MAC Spoofing攻击 | DHCP Snooping绑定表 |
| 改变CHADDR值的DoS攻击 | 检查DHCP报文的CHADDR字段 |
| Option82 | MAC地址限制 |
3 DHCP Snooping配置举例
| 项目 | 数据 |
|---|---|
| （1） | 接口：GigabitEthernet 0/0/0 IP地址：10.1.1.254/24 |
| （2） | 接口：GigabitEthernet 0/0/1 IP地址：100.1.1.1/24 |
| DHCP服务器地址 | 100.1.1.2/24 |
4 DHCP Snooping配置
4.1 步骤1
配置DHCP Relay的基本功能
# 配置接口GigabitEthernet 0/0/1接口地址。
<USG> system-view
[USG] sysname DHCP-Relay
[DHCP-Relay] interface GigabitEthernet 0/0/1
[DHCP-Relay-GigabitEthernet0/0/1] ip address 100.1.1.1 24
[DHCP-Relay-GigabitEthernet0/0/1] quit
# 配置DHCP中继功能接口。
[DHCP-Relay] interface GigabitEthernet 0/0/0
[DHCP-Relay-GigabitEthernet0/0/0] ip address 10.1.1.254 24
[DHCP-Relay-GigabitEthernet0/0/0] dhcp select relay
[DHCP-Relay-GigabitEthernet0/0/0] ip relay address 100.1.1.2
[DHCP-Relay-GigabitEthernet0/0/0] quit
4.2 步骤2
开启DHCP Snooping功能，配置Trusted接口
# 启用全局和接口的DHCP Snooping功能。
[DHCP-Relay] dhcp snooping enable
[DHCP-Relay] interface GigabitEthernet 0/0/0
[DHCP-Relay-GigabitEthernet0/0/0]dhcp snooping enable
[DHCP-Relay-GigabitEthernet0/0/0]quit
[DHCP-Relay] interface GigabitEthernet 0/0/1
[DHCP-Relay-GigabitEthernet0/0/1]dhcp snooping enable
# 配置DHCP Server侧接口配置为“Trusted” 。
[DHCP-Relay-GigabitEthernet0/0/1]dhcp snooping trusted
[DHCP-Relay-GigabitEthernet0/0/1]quit
4.3 步骤3
配置对特定报文的检查和DHCP Snooping绑定表
[DHCP-Relay] interface GigabitEthernet 0/0/0
[DHCP-Relay-GigabitEthernet0/0/0] dhcp snooping check arp enable
[DHCP-Relay-GigabitEthernet0/0/0] dhcp snooping check ip enable
[DHCP-Relay-GigabitEthernet0/0/0] dhcp snooping check dhcp-request enable
[DHCP-Relay-GigabitEthernet0/0/0] dhcp snooping check dhcp-chaddr enable
[DHCP-Relay-GigabitEthernet0/0/0] dhcp snooping bind-table static ip-address 10.1.1.1 mac-address 00e0-fc5e-008a
[DHCP-Relay-GigabitEthernet0/0/0] quit
4.4 步骤4
配置DHCP上送速率限制和配置Option82
[DHCP-Relay] dhcp snooping check dhcp-rate 90
[DHCP-Relay] dhcp snooping check dhcp-rate enable
[DHCP-Relay] interface GigabitEthernet 0/0/0
[DHCP-Relay-GigabitEthernet0/0/0] dhcp option82 insert enable
[DHCP-Relay-GigabitEthernet0/0/0] quit
5 网络攻击介绍
5.1 流量型攻击
流量型攻击：Flood方式攻击
耗尽网络带宽
耗尽服务器资源
5.2 扫描窥探攻击
扫描窥探攻击：IP地址扫描与端口扫描
识别潜在攻击目标
识别目标弱点
5.3 畸形报文攻击
5.4 特殊报文攻击
