在DHCP网络环境中，若攻击者仿冒合法用户的DHCP报文发往DHCP服务器，会导致合法用户无法使用该IP地址或异常下线。在生成DHCP Snooping绑定表后，设备可根据绑定表项，对DHCP报文进行匹配检查，只有匹配成功的报文设备才将其转发，否则将丢弃。这将能有效得防止非法用户通过发送伪造DHCP报文冒充合法用户进行续租或释放IP地址。
1.dhcp客户端伪造dhcp报文攻击
攻击原理：
（1）攻击者仿冒合法客户端向dhcp服务器发送dhcp request报文去续租IP。
造成IP无法被正常回收，导致合法的客户端无法获取IP地址
（2）攻击者仿冒合法客户端向dhcp服务器发送dhcp release报文去释放IP，造成合法客户端异常下线
解决办法：在接入交换机开启dhcp snooping功能。
[SW3-GigabitEthernet0/0/1]dhcp snooping check dhcp-request enable
在接口开启dhcp-request消息类型检测。
这里的dhcp request它不是dhcp request报文种类，而是dhcp的消息类型
2.非dhcp客户端伪造dhcp报文攻击
[SW3-GigabitEthernet0/0/1]dhcp snooping sticky-mac
开启设备该接口基于dhcp snooping绑定表功能的MAC地址学习机制。
该接口一旦开启此功能，MAC地址表学习途径只能通过snooping表项学习，如果没有snooping表项生成，就无法学习MAC地址表，同时该接口无法转发数据。
（该功能开启以后，意味着这个接口就只能接入dhcp客户端，对于静态客户端将无法入网。）
限时福利 课程免费试听名额
扫码添加老师立即申请
