核心交换机报错信息

从日志和描述来看，核心交换机丢弃的是**从路由器（G1/0/46）发向核心交换机的DHCP单播报文（如DHCP ACK/NAK）**，原因在于**核心交换机未将连接路由器的端口（G1/0/46）设置为`dhcp snooping trust`**。这是典型的配置遗漏导致合法DHCP服务器报文被错误丢弃。

以下是详细分析和解决方案：

---

### **故障原因分析**
1. **报文类型分析**：
- `PktType=IPV4_UC_DHCP`：被丢弃的是**IPv4单播DHCP报文**（如DHCP ACK/NAK），这类报文是DHCP服务器（路由器）对客户端的响应。
- `SrcMAC=305f-789f-90a8`：该MAC属于路由器（G1/0/46接口）。
- `Dropped from interface=GigabitEthernet1/0/46`：丢弃发生在核心交换机连接路由器的上行接口。

2. **DHCP Snooping机制**：
- DHCP Snooping默认**不信任所有端口**，只转发来自`trust`端口的DHCP服务器响应（如ACK/NAK）。
- 若未将路由器接口设置为`trust`，核心交换机会将路由器下发的DHCP单播报文视为非法攻击报文，触发**软CAR限速（Stage 5）**并丢弃。

3. **丢弃后果**：
- 终端无法收到DHCP服务器的ACK/NAK报文 → DHCP流程中断 → 终端无法获取/续约IP → **大规模断网**。

---

### **解决方案**
#### 步骤1：在核心交换机上配置路由器接口为信任端口
```bash
# 进入核心交换机配置模式
system-view

# 进入路由器接口（G1/0/46）
interface GigabitEthernet1/0/46

# 启用DHCP Snooping信任
dhcp snooping trust

# 保存配置
save
```

#### 步骤2：验证配置是否生效
```bash
# 检查接口信任状态
display dhcp snooping interface GigabitEthernet1/0/46
```
输出中应有 `Trusted interface` 标识。

#### 步骤3：清除计数器并观察日志
```bash
# 清除接口计数器和软CAR统计
reset counters interface GigabitEthernet1/0/46
reset cpu-defend statistics packet-type dhcp
```
观察日志是否仍有 `SOFTCAR DROP` 告警，终端是否恢复获取IP。

---

### **预防措施**
1. **全网DHCP Snooping信任配置**：
- **接入层**：连接终端的端口设为`untrust`（默认状态无需配置）。
- **核心层**：连接合法DHCP服务器（路由器/防火墙）的端口必须设为`trust`。
```bash
# 示例：核心交换机连接DHCP服务器的端口均需配置
interface range GigabitEthernet1/0/45 to GigabitEthernet1/0/48
dhcp snooping trust
```

2. **检查其他相关配置**：
- **防DHCP欺骗**：在接入层启用 `dhcp snooping enable`（已配置）。
- **Option 82支持**：若路由器需处理Option 82，需在核心交换机添加：
```bash
dhcp snooping information enable
```

3. **调整CAR限速阈值（可选）**
若合法报文仍被限速（罕见），可适当提高DHCP报文限速：
```bash
cpu-defend policy
car packet-type dhcp rate-limit 2000 # 默认值通常为512 pps，建议逐步调整
```

---

### **同类案例参考**
- **案例1**：某企业核心交换机频繁丢弃DHCP ACK，原因为未配置`dhcp snooping trust`，配置后恢复。
- **案例2**：校园网终端随机断网，核心日志显示`SOFTCAR DROP DHCP`，将路由器接口设为`trust`后问题解决。
- **华为官方建议**：明确要求连接DHCP服务器的端口必须配置为信任端口（参考华为S7700系列配置指南）。

> 📌 **关键点总结**：DHCP Snooping的`trust`配置是此类问题的核心原因。修正后通常能立即恢复网络，无需重启设备。务必全网检查DHCP服务器连接端口的信任状态！