DHCP snooping ，不信任端口如何应用

Question

DHCP snooping 可以有两个端口，信任端口和不信任端口，在交换机上连接正确DHCP 服务器可以配置信任端口，可以通过DHCP所有的报文，这样就行了，不信任端口怎么用，如果其他接口都配置不信任，那连接pc用户的端口也无法获取获取ip地址，因为不信任端口只能通过 DHCP Discover 报文，那DHCP Request就无法通过不信任端口，所在连接用户的接口上就不能配置不信任，有点懵，求解答一下

Answer 1

不知道你这个问题是否已经解决, 如果还没有解决的话:

• 以下回答由chatgpt基于相关博客总结生成:

  回答:

  使用不信任端口时，我们可以通过配置一些例外规则来确保连用户能够获取IP地址，同时保持网络的安全性。

  以下是一个示例配置：

  1. 首先，将所有接口都配置为不信任端口。

     ``` switchport mode access

     interface range GigabitEthernet1/0/1-10 switchport mode access no dhcp snooping trust ```

  2. 接下来，配置例外规则以允许DHCP Request报文通过不信任端口。

     ``` ip dhcp snooping ip dhcp snooping vlan 10 ip dhcp snooping vlan 20

     interface range GigabitEthernet1/0/1-10 ip dhcp snooping limit rate 10

     ip dhcp snooping option 82 ```

  以上配置将VLAN 10和VLAN 20视为需要提供IP地址的VLAN。你可以根据你的网络配置进行修改。

  1. 配置DHCP Snooping Binding数据库，将已经分配的IP地址与对应的MAC地址进行绑定。这样在DHCP Snooping过程中，交换机将根据Binding数据库来判断是否要向设备分配IP地址。

     ``` ip dhcp snooping database flash:dhcp-snooping-binding

     ip dhcp snooping vlan 10-20 ```

  以上配置将DHCP Snooping Binding数据库存储在交换机的闪存中，并在VLAN 10和VLAN 20上启用DHCP Snooping。

  通过以上配置，你可以实现以下目标：

  • 保护网络免受恶意的DHCP服务器攻击，因为只有信任端口连接的DHCP服务器会被交换机接受。

  • 允许连接到交换机的用户获取IP地址，因为例外规则允许DHCP Request报文通过不信任端口。

  • 使用DHCP Snooping Binding数据库对已经分配的IP地址进行控制，提高网络的安全性。

  请注意，以上示例配置可能需要根据你的网络环境进行修改。建议在实际部署之前，仔细调查和验证你的网络需求和配置。如果你对配置流程有任何疑问，建议参考你使用的交换机设备的官方文档或咨询厂商提供的支持。

如果你已经解决了该问题, 非常希望你能够分享一下解决方案, 写成博客, 将相关链接放在评论区, 以帮助更多的人 ^-^