dhcp snooping这个只是防止dhcp攻击的，并不能方式私接路由器

防止私接路由器，有2种方式，1种是配置准入，全网准入

1种是用acg这种设备配套使用七层的防私接技术

防止私接的话 ip source guard比较好用，要是防止dhcp的话就dhcp snooping，要不然就配置认证了

3  授权ARP功能在DHCP服务器上配置举例

3.1  组网需求

如图1所示，Router是DHCP服务器，为同一网段中的主机动态分配IP地址。现要求：启用授权ARP功能保证必须是通过Router分配IP地址的主机才能够通过Router访问外网。

图1 授权ARP功能在DHCP服务器上配置举例组网图

3.2  使用版本

本配置举例是在MSR3610-X1路由器Release 6749版本上进行配置和验证的。

3.3  配置步骤

3.3.1  Router的配置

# 配置接口的IP地址。

<Router> system-view

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] ip address 10.1.1.1 24

[Router-GigabitEthernet1/0/1] quit

# 使能DHCP服务。

[Router] dhcp enable

# 配置DHCP地址池1动态分配的主地址网段为10.1.1.0/24。

[Router] dhcp server ip-pool 1

[Router-dhcp-pool-1] network 10.1.1.0 mask 255.255.255.0

[Router-dhcp-pool-1] quit

# 使能接口授权ARP功能。

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] arp authorized enable

[Router-GigabitEthernet1/0/1] quit

可以做mac绑定，dhcp snooping没有用。

可以开启STP，然后除了级联口都配置边缘端口，在开启STP-BPDU

还有一种方式是端口配置MAC地址学习，只学习一个MAC地址，可以防止接交换机