需要怎么配置dhcp snooping

在您的组网架构中，如果您想要在接入层的交换机上开启DHCP snooping，那么您需要在连接汇聚层的聚合口上配置DHCP snooping trust，以允许从汇聚层转发的DHCP响应报文通过。如果您想要在汇聚层的交换机上开启DHCP snooping，那么您需要在连接核心层的聚合口上配置DHCP snooping trust，以允许从核心层转发的DHCP响应报文通过。您也可以在两层交换机上都开启DHCP snooping，以增强网络安全性，但是需要注意配置正确的信任口和不信任口。

您好，请知：

以下是DHCP snooping的配置案例，请参考：

.13  DHCP Snooping典型配置举例

1.13.1  全局开启DHCP Snooping配置举例

1. 组网需求

Device B通过以太网端口HundredGigE1/0/1连接到合法DHCP服务器，通过以太网端口HundredGigE1/0/3连接到非法DHCP服务器，通过HundredGigE1/0/2连接到DHCP客户端。要求：

·     与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

·     记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息。

2. 组网图

图1-3 DHCP Snooping组网示意图

‌

3. 配置步骤

# 全局开启DHCP Snooping功能。

<DeviceB> system-view

[DeviceB] dhcp snooping enable

# 设置HundredGigE1/0/1端口为信任端口。

[DeviceB] interface hundredgige 1/0/1

[DeviceB-HundredGigE1/0/1] dhcp snooping trust

[DeviceB-HundredGigE1/0/1] quit

# 在HundredGigE1/0/2上开启DHCP Snooping表项功能。

[DeviceB] interface hundredgige 1/0/2

[DeviceB-HundredGigE1/0/2] dhcp snooping binding record

[DeviceB-HundredGigE1/0/2] quit

4. 验证配置

配置完成后，DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息，非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息。且使用display dhcp snooping binding可查询到获取到的DHCP Snooping表项。

1.13.2  按VLAN开启DHCP Snooping配置举例

1. 组网需求

Device B通过以太网端口HundredGigE1/0/1连接到合法DHCP服务器，通过以太网端口HundredGigE1/0/3连接到非法DHCP服务器，通过HundredGigE1/0/2连接到DHCP客户端。要求：

·     VLAN 100上与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

·     记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息。

2. 组网图

图1-4 按VLAN开启DHCP Snooping配置组网示意图

‌

3. 配置步骤

# 配置端口HundredGigE1/0/1、HundredGigE1/0/2和HundredGigE1/0/3为Access端口，允许VLAN 100通过。

<DeviceB> system-view

[DeviceB] vlan 100

[DeviceB-vlan100] port hundredgige 1/0/1 to hundredgige 1/0/3

[DeviceB-vlan100] quit

# 在VLAN100内开启DHCP Snooping功能。

[DeviceB] dhcp snooping enable vlan 100

# 指定端口HundredGigE1/0/1为VLAN 100下DHCP Snooping功能的信任端口。

[DeviceB] vlan 100

[DeviceB-vlan100] dhcp snooping trust interface hundredgige 1/0/1

# 在VLAN 100内开启DHCP Snooping表项记录功能。

[DeviceB-vlan100] dhcp snooping binding record

[DeviceB-vlan100] quit

4. 验证配置

配置完成后，DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息，非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息。且使用display dhcp snooping binding可查询到获取到的DHCP Snooping表项。

1.13.3  DHCP Snooping支持Option 82配置举例

1. 组网需求

·     Device B上开启DHCP Snooping功能，并支持Option 82功能；

·     对包含Option 82的请求报文的处理策略为replace；

·     在HundredGigE1/0/2上配置Circuit ID填充内容为company001，Remote ID填充内容为device001；

·     在HundredGigE1/0/3上配置Circuit ID以verbose模式填充，接入节点标识为sysname，填充格式为ASCII格式，Remote ID填充内容为device001；

2. 组网图

图1-5 DHCP Snooping支持Option 82配置示意图

‌

3. 配置步骤

# 开启DHCP Snooping功能。

<DeviceB> system-view

[DeviceB] dhcp snooping enable

# 设置HundredGigE1/0/1端口为信任端口。

[DeviceB] interface hundredgige 1/0/1

[DeviceB-HundredGigE1/0/1] dhcp snooping trust

[DeviceB-HundredGigE1/0/1] quit

# 在HundredGigE1/0/2上配置DHCP Snooping支持Option 82功能。

[DeviceB] interface hundredgige 1/0/2

[DeviceB-HundredGigE1/0/2] dhcp snooping information enable

[DeviceB-HundredGigE1/0/2] dhcp snooping information strategy replace

[DeviceB-HundredGigE1/0/2] dhcp snooping information circuit-id string company001

[DeviceB-HundredGigE1/0/2] dhcp snooping information remote-id string device001

[DeviceB-HundredGigE1/0/2] quit

# 在端口HundredGigE1/0/3上配置DHCP Snooping支持Option 82功能。

[DeviceB] interface hundredgige 1/0/3

[DeviceB-HundredGigE1/0/3] dhcp snooping information enable

[DeviceB-HundredGigE1/0/3] dhcp snooping information strategy replace

[DeviceB-HundredGigE1/0/3] dhcp snooping information circuit-id verbose node-identifier sysname format ascii

[DeviceB-HundredGigE1/0/3] dhcp snooping information remote-id string device001

4. 验证配置

配置完成后，使用display dhcp snooping information命令可查看到DHCP Snooping在端口HundredGigE1/0/2和HundredGigE1/0/3上Option 82的配置信息。