DHCP SERVER如何防止客户端IP地址冲突？
- 0关注
- 0收藏，1012浏览
问题描述：
DHCP SERVER上静态绑定了DHCP客户端PC1和PC2的IP地址，但PC1私自更改成静态获取IP，并把IP设置成PC2的地址，导致PC2不能正常上网，显示IP地址冲突。如何配置DHCP SERVER，发现PC1更改IP后，阻断其通信，并保证PC2能正常获取到绑定的IP地址？
组网及组网描述：
- 2025-03-01提问
- 举报
-
(0)
最佳答案
19-IP Source Guard配置-新华三集团-H3C
1.7.2 与DHCP Snooping配合的IPv4动态绑定功能配置举例
1. 组网需求
DHCP客户端通过Device的接口GigabitEthernet1/0/1接入网络，通过DHCP服务器获取IPv4地址。
具体应用需求如下：
· Device上使能DHCP Snooping功能，保证客户端从合法的服务器获取IP地址，且记录客户端IPv4地址及MAC地址的绑定关系。
· 在接口GigabitEthernet1/0/1上启用IPv4动态绑定功能，利用动态生成的DHCP Snooping表项过滤接口接收的报文，只允许通过DHCP服务器动态获取IP地址的客户端接入网络。DHCP服务器的具体配置请参见“三层技术-IP业务配置指导”中的“DHCP服务器”。
2. 组网图
图1-3 配置与DHCP Snooping配合的IPv4动态绑定功能组网图
3. 配置步骤
(1) 配置DHCP Snooping
# 配置各接口的IP地址（略）。
# 开启DHCP Snooping功能。
<Device> system-view
[Device] dhcp snooping enable
# 设置与DHCP服务器相连的接口GigabitEthernet1/0/2为信任接口。
[Device] interface gigabitethernet 1/0/2
[Device-GigabitEthernet1/0/2] dhcp snooping trust
[Device-GigabitEthernet1/0/2] quit
(2) 配置IPv4接口绑定功能
# 开启接口GigabitEthernet1/0/1的IPv4接口绑定功能，绑定源IP地址和MAC地址，并启用接口的DHCP Snooping 表项记录功能。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip verify source ip-address mac-address
[Device-GigabitEthernet1/0/1] dhcp snooping binding record
[Device-GigabitEthernet1/0/1] quit
4. 验证配置
# 显示接口GigabitEthernet1/0/1从DHCP Snooping获取的动态表项。
[Device] display ip source binding dhcp-snooping
Total entries found: 1
IP address MAC address Interface VLAN Type
192.168.0.1 0001-0203-0406 GE1/0/1 1 DHCP snooping
接口GigabitEthernet1/0/1在配置IPv4接口绑定功能之后，会根据该表项进行报文过滤。
- 2025-03-01回答
- 评论(2)
- 举报
-
(0)
这个配置在HCL模拟器上不生效，如果客户端更改成了静态IP，这个配置能完全阻止客户端通信吗？包括ARP探测也不能发送到此客户端，这样此客户端更改IP就对其它客户端没有影响了。
解决方案步骤：
DHCP服务器静态绑定确认
- 确保在DHCP服务器上已为PC2正确配置MAC地址与IP的静态绑定（保留），PC2的IP地址需在作用域范围内，并排除该地址不被自动分配。
启用交换机的DHCP Snooping功能
- 目的：建立合法的IP-MAC绑定表，记录通过DHCP分配的地址。
- 配置示例（Cisco交换机）：
# 全局启用DHCP Snooping configure terminal ip dhcp snooping ip dhcp snooping vlan <VLAN_ID> # 在信任端口（如连接DHCP服务器的端口）启用信任 interface gigabitethernet0/1 ip dhcp snooping trust exit
配置IP Source Guard
- 目的：限制端口只能发送其通过DHCP获得的IP地址的流量，阻止手动设置的非法IP。
- 配置示例：
interface range gigabitethernet0/2-24 # 非信任端口（如连接PC的端口） ip verify source port-security exit
启用动态ARP检测（DAI）
- 目的：防止ARP欺骗，确保ARP响应与DHCP Snooping绑定表一致。
- 配置示例：
ip arp inspection vlan <VLAN_ID> interface gigabitethernet0/1 # 信任端口 ip arp inspection trust exit
配置端口安全（可选）
- 目的：限制每个端口只允许特定MAC地址的设备接入。
- 配置示例：
interface gigabitethernet0/2 # PC2连接的端口 switchport port-security switchport port-security maximum 1 switchport port-security mac-address sticky switchport port-security violation restrict exit
结果验证：
- PC2：正常通过DHCP获取预留IP，通信不受影响。
- PC1：若手动设置PC2的IP地址，其流量会被交换机（通过IP Source Guard和DAI）拦截，导致无法通信，同时系统日志会记录违规事件。
- 2025-03-01回答
- 评论(1)
- 举报
-
(0)
PC1手动设置成PC2的IP地址后，PC2再通过DHCP获取IP时，会发送免费的ARP探测吧？如果检测到同网段内PC1已经占用了他的IP地址，还是会提示IP冲突吧？这些动作, 以上的配置会阻拦吗？
PC1手动设置成PC2的IP地址后，PC2再通过DHCP获取IP时，会发送免费的ARP探测吧？如果检测到同网段内PC1已经占用了他的IP地址，还是会提示IP冲突吧？这些动作, 以上的配置会阻拦吗？
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
可以，配置后，用户必须从dhcp服务器获得ip地址。