H3C S10506 交换机如何避免底下用户私接路由器?

针对你描述的私接路由器导致终端获取错误IP（如192.168.1.x段）的问题，可以通过一套组合策略来有效预防和排查。

🛡️ 如何预防用户私接路由器？

预防的核心思路是“让私接路由器无法工作”或“限制其影响范围”。

1. DHCP Snooping：最核心、最基础的防御手段

这是解决你描述问题的首选方案。它能有效防止私接路由器作为非法DHCP服务器，为其他终端分配错误IP地址。

原理：在交换机上开启DHCP Snooping后，会将连接合法DHCP服务器（如你的核心交换机）的端口设置为信任（Trust）端口，其他端口则为非信任（Untrust）端口。非信任端口接收到的DHCP响应报文（如DHCP Offer）会被直接丢弃，从而阻断非法DHCP服务。

配置示例（在接入交换机S5560X-54C-EI上） ：

1. 全局开启DHCP Snooping：

   bash

   [H3C] dhcp snooping enable

2. 将上联口（连接核心S10506的端口）设置为信任端口：

   bash

   [H3C] interface GigabitEthernet 1/0/1 # 替换为你的实际上联端口 [H3C-GigabitEthernet1/0/1] dhcp snooping trust [H3C-GigabitEthernet1/0/1] quit

   关键提醒：必须将上联口设置为信任端口，否则终端无法从合法的DHCP服务器获取IP地址。如果存在链路聚合，信任端口需配置在聚合接口上。

3. （可选）在用户端口记录绑定信息，为后续IP Source Guard做准备：

   bash

   [H3C] interface range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/24 [H3C-if-range] dhcp snooping binding record [H3C-if-range] quit

2. 端口安全（Port Security）：限制端口下联设备数量

此方法能限制一个物理端口下能连接的设备数量，从而阻止用户私接路由器让多人上网。

• 限制MAC地址数量：将用户侧端口允许的MAC地址数设为1个（固定工位单台电脑）或2个（电脑加手机）。超过数量则触发保护动作（如关闭端口）。

  bash

  [H3C] port-security enable [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] port-security port-mode autoLearn [H3C-GigabitEthernet1/0/2] port-security max-mac-count 1 [H3C-GigabitEthernet1/0/2] port-security intrusion-mode shutdown

• 手工绑定固定MAC：在固定工位，如果已知终端MAC地址，可以手工绑定，彻底杜绝其他设备接入。

3. IP Source Guard：防止IP地址私自更改

此功能与DHCP Snooping配合，可根据绑定的IP和MAC地址过滤报文，只允许合法用户的数据通过。

4. 更高级的方案

• UAD私接路由检测：H3C V7交换机自带的UAD功能，能通过检测报文的TTL值变化来识别经过NAT转发的流量，从而精准定位私接路由器。

  bash

  [H3C] uad enable [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] uad enable [H3C-GigabitEthernet1/0/2] uad action shutdown

• 网络准入控制：部署 802.1X认证 是最彻底的办法。用户接入网络必须先通过身份验证，能从根本上杜绝非法设备接入。配合H3C iMC的EIA组件，还能实现终端溯源。

• 部署专业设备：在出口处部署H3C的ACG（应用控制网关）或特定防火墙，它们具备基于七层协议的私接检测功能。

🔍 如何发现谁已经私接了路由器？

1. 定位私接路由器的交换机端口

• 查看MAC地址表：在核心交换机S10506上，查找异常MAC地址对应的端口。

  bash

  <H3C> display mac-address | include 异常MAC

  如果该MAC地址是从某个汇聚口学习到的，则需要登录下一级交换机（如S5560X）继续查找，直到定位到最终的接入端口。

• 查看ARP表：类似地，可以通过IP地址查找其对应的MAC和端口。

• 查看LLDP邻居：display lldp neighbor-information可以查看直连设备的邻居信息。不过，如果私接的是不支持LLDP的家用路由器，则无法通过此方法发现。

• 监控MAC漂移：私接路由器可能导致MAC地址在不同端口间漂移。使用display mac-address mac-move命令可以查看MAC地址漂移记录，帮助定位问题端口。

2. 利用交换机原生功能进行检测

• 启用UAD检测：开启UAD功能后，一旦检测到私接路由，交换机会产生告警日志，并上报端口、MAC、VLAN等信息。

• 查看端口安全日志：如果配置了端口安全，当端口因MAC地址数量超限而被shutdown时，会有相应的日志记录，可以据此发现私接行为

dhcp snooping

先理清场景痛点：
员工私接家用路由器，分两种接法：
1）WAN 口接入内网：路由器开启 DHCP，下发 192.168.1.x 网段，终端获取非法地址；
2）LAN 口接入内网：关闭 DHCP，但开启 NAT，形成二级路由，出现 TTL-1 特征，存在路由黑洞、网段冲突。
重要架构建议：安全功能优先部署在接入 S5560X，不要只在核心 S10506 部署，越靠近终端阻断效果越好。
一、第一部分：如何排查定位已经私接的路由器（应急查找）
方式 1：发现终端获取到非法网段（192.168.1.x）
故障终端执行 arp -a，找到私接路由器网关 MAC；
登录核心 S10506 查询 MAC 位置：
plaintext
display mac-address xxxx-xxxx-xxxx
如果 MAC 下一跳指向 S5560X，登录对应 S5560X 再次查询 mac，定位最终接入端口。
方式 2：私接路由器 LAN 接入（无非法 DHCP，仅 NAT 转发）
识别特征：终端报文 TTL 相比正常主机固定少 1（Windows 默认 128，经过路由变为 127；Linux 默认 64→63）
批量长 ping 终端，观察 TTL；
收集异常 IP 对应的 MAC，逐层溯源端口。
方式 3：非法 DHCP 服务器定位
接入交换机开启 DHCP Snooping 后，查看非法 DHCP Offer 报文源 MAC：
plaintext
display dhcp-snooping statistics
抓到非法 DHCP 响应报文，提取路由器 MAC，溯源端口。
方式 4：端口 MAC 数量观测
正常办公端口只有 1 个终端 MAC；如果端口下学习大量 MAC，大概率下级联了 Hub / 路由器。
plaintext
display mac-address interface GigabitEthernet 1/0/X
⚠️局限：如果下级交换机是 S5560X，只能定位到 S5560 上联核心的端口，必须登录接入交换机继续往下追踪。
二、第二部分：预防私接路由器四层方案（按推荐优先级）
✅方案 1：DHCP Snooping（根治【WAN 口接入、非法 DHCP】场景，必部署）
作用：阻断内网任何端口发出的 DHCP Offer 报文，路由器无法分配 192.168 网段地址。
只能部署在接入 S5560X，核心 S10506 部署无效！
S5560X 标准模板：
plaintext
system-view
dhcp-snooping enable
# 接入业务VLAN开启
vlan 10
dhcp-snooping enable
# 上行连接S10506的端口配置信任
interface GigabitEthernet 1/0/24
dhcp-snooping trust
# 用户接入端口默认非信任，无需额外配置
interface GigabitEthernet 1/0/1 to GigabitEthernet 1/0/23
dhcp-snooping binding record
开启后：用户私接路由器 WAN 口，路由器 DHCP 报文直接被交换机丢弃，终端不会拿到非法网段 IP。
短板：无法防御【LAN 口接入、关闭 DHCP、仅做 NAT】的场景。
✅方案 2：ARP 网关防护 arp anti-attack gateway-duplicate
防止私接路由器冒充内网网关，防范 ARP 欺骗。
plaintext
system-view
arp anti-attack gateway-duplicate enable
# 配置合法网关IP
arp anti-attack valid-gateway 10.0.0.254
收到其他设备发送网关 IP 的 ARP 报文直接丢弃。
✅方案 3：端口安全 port-security（适合单人固定工位）
限制端口最多学习 1 个 MAC，下级路由器多终端接入直接阻断。
plaintext
interface GigabitEthernet 1/0/1
port-security enable
port-security max-mac-count 1
port-security protect-mode shutdown
不适合多人共享、下级合规交换机场景。
✅方案 4：UAD 终端准入检测（如果现场有 iMC）
UAD 可以检测报文 TTL 衰减特征，识别二级路由（NAT 私接路由器），支持日志 / 阻断。
无 iMC 环境无法使用。
三、两套典型私接场景能力边界（非常关键）
路由器 WAN 口接入内网（开启 DHCP）
✅ DHCP Snooping 完美防御，阻止分配非法 IP；
路由器 LAN 口接入内网（关闭 DHCP，仅 NAT 转发）
❌ DHCP Snooping 无法拦截；只能依靠：UAD 检测 TTL 特征、运维巡检 + 规范管理。
四、组网实施重要提醒
不要只在核心 S10506 部署安全特性！
DHCP Snooping、ARP Detection 必须部署在接入 S5560X，核心无法感知终端侧二层报文。
全网规范：禁止用户私自接入路由设备，同步行政管理制度；技术手段 + 管理手段结合。
如果同时部署 IPSG、DAI，需要依赖 DHCP Snooping 绑定表，整套安全体系可以同步搭建。
五、最简落地建议
优先在所有 S5560X 接入交换机部署 DHCP Snooping，解决最常见的 WAN 口私接、非法网段分配问题；
开启网关重复检测，防范仿网关 ARP 攻击；
固定工位 PC 端口启用 port-security 限制 MAC 数量；
持续通过 MAC 表、TTL 特征定期巡检，发现 LAN 口私接 NAT 路由器。

把业务网关放到S5560X。 细化VLAN。加DHCP Snooping就能解决。速度更快