问

华三s5560阻止公司内网中非法DHCP问题

DHCP Snooping

2021-03-24提问

1关注
1收藏，1747浏览

zhiliao_7Gsgpx

zhiliao_7Gsgpx 零段

粉丝：0人关注：0人

问题描述：

华三s5560既作用户终端接入又作DHCP服务，请问如何阻止用户私接路由器自带的DHCP功能？

组网及组网描述：

4 个回答

按时间按赞数

叫我靓仔

叫我靓仔九段

粉丝：148人关注：1人

配置dhcp snooping

你好， 1.s5560作用户终端接入 2.s5560又作DHCP 请问： 1.配也是在该交换机配置nooping吗？ 2.该交换机的trust口是哪些？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

所有接口都配置为非信任端口

叫我靓仔发表时间：2021-03-25

你好，接口下没有untrust，只有trust，请问怎么解决？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

参考这个配置案例https://www.h3c.com/cn/d_201912/1252431_30005_0.htm#_Toc27572591

叫我靓仔发表时间：2021-03-25

无名之辈

无名之辈九段

粉丝：226人关注：0人

您好，防私接需要ACG上网行为管理

防DHCP冲突，使用dhcp snooping 进行规避

你好， 1.s5560作用户终端接入 2.s5560又作DHCP 请问： 1.配也是在该交换机配置nooping吗？ 2.该交换机的trust口是哪些？

zhiliao_7Gsgpx 发表时间：2021-03-25

李云龙的意大利炮

李云龙的意大利炮九段

粉丝：95人关注：1人

5.11 DHCP Snooping典型配置举例

5.11.1 DHCP Snooping配置举例

1. 组网需求

Switch B通过以太网端口GigabitEthernet1/0/1连接到合法DHCP服务器，通过以太网端口GigabitEthernet1/0/3连接到非法DHCP服务器，通过GigabitEthernet1/0/2连接到DHCP客户端。要求：

· 与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

· 记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息。

2. 组网图

图5-3 DHCP Snooping组网示意图

3. 配置步骤

# 启用DHCP Snooping功能。

<SwitchB> system-view

[SwitchB] dhcp snooping enable

# 设置GigabitEthernet1/0/1端口为信任端口。

[SwitchB] interface GigabitEthernet 1/0/1

[SwitchB-GigabitEthernet1/0/1] dhcp snooping trust

[SwitchB-GigabitEthernet1/0/1] quit

# 在GigabitEthernet1/0/2上启用DHCP Snooping表项功能。

[SwitchB] interface GigabitEthernet 1/0/2

[SwitchB-GigabitEthernet1/0/2] dhcp snooping binding record

[SwitchB-GigabitEthernet1/0/2] quit

4. 验证配置

配置完成后，DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息，非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息。且使用display dhcp snooping binding可查询到获取到的DHCP Snooping表项。

你好， 1.s5560作用户终端接入 2.s5560又作DHCP 请问： 1.配也是在该交换机配置nooping吗？ 2.该交换机的trust口是哪些？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

接入只需要开启这个功能，DHCP做在核心上，trunk里面放通允许通过的vlan就行了。

李云龙的意大利炮发表时间：2021-03-25

现在DHCP和接入都在一台设备5560上面，没有接入设备，也没有独立的DHCP服务器，请问咋做？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

那就不需要开了。。

李云龙的意大利炮发表时间：2021-03-25

该设备的接口下如果有私接DHCP路由器，不会有影响吗？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

有啊，但是你这个5560下面的交换机是可网管的才行，傻瓜的管不了。

李云龙的意大利炮发表时间：2021-03-25

5560下面是终端，是个人PC，那这种连接方式的话，不可避免的会有影响？不能解决了？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

终端下面是PC，那么哪里来的非法的DHCP呢

李云龙的意大利炮发表时间：2021-03-25

回复李云龙的意大利炮:

哦，还有类似家用路由器那种，这样是不是没法解决非法dhcp？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

没有，你这网络太简单了，这都管不住？

李云龙的意大利炮发表时间：2021-03-25

不是，下面有交换机，下面的交换机已经做了SNOOPING，但我5560也接PC或小路由器，并不是纯粹的核心或汇聚，所以这样的结构，小路由器直接5560，非法DHCP影响还是不可避免的？

zhiliao_7Gsgpx 发表时间：2021-03-25

回复zhiliao_7Gsgpx:

不想回复了。

李云龙的意大利炮发表时间：2021-03-25

小小卖药郎

小小卖药郎七段

粉丝：8人关注：1人

在接入交换机上开启dhcp snooping 然后配置dhcp trust端口

你好， 1.s5560作用户终端接入 2.s5560又作DHCP 请问： 1.配也是在该交换机配置nooping吗？ 2.该交换机的trust口是哪些？

zhiliao_7Gsgpx 发表时间：2021-03-25

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 知了APP下载; 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

华三s5560阻止公司内网中非法DHCP问题

问题描述：

组网及组网描述：

5.11 DHCP Snooping典型配置举例

5.11.1 DHCP Snooping配置举例

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

编辑答案

提出建议