S5500V2 关于DHCP SNOOPING能否指定接收特定DHCP服务器

没办法

S5500V2 DHCP‑Snooping 信任口上联有多台 DHCP 服务器，仅放行指定合法 DHCP 服务器
现象：上联口 G1/0/24 配置dhcp snooping trust，该上联链路上存在多台 DHCP 设备；DHCP‑Snooping 本身没有命令可以直接在 trust 口里面指定允许某一个 DHCP 服务器 IP，trust 端口会无条件放行全部 DHCP‑Offer/ACK 应答报文。
约束条件：你无权修改上层设备，只能在本接入交换机处理。
核心说明
DHCP‑Snooping 的 trust/untrust 只是端口级别开关：
untrust 口：丢弃所有 DHCP 服务器侧响应报文（Offer/ACK/NAK）
trust 口：全部放行所有 DHCP 服务器应答报文，没有内置 “指定服务器 IP 白名单” 参数。
所以只配置 dhcp snooping trust 解决不了上联多 DHCP 服务器的场景。
解决方案：在上联信任端口，使用ACL + 流策略过滤 UDP 67 端口（DHCP 服务器应答报文），仅允许合法 DHCP 服务器源 IP，丢弃其他 DHCP 服务器的应答。
DHCP 服务器回复报文源端口固定 UDP 67，客户端请求源端口 UDP 68。
完整配置（S5500V2，Comware V5）
假设：合法 DHCP 服务器 IP：10.0.100.10；上联口 GigabitEthernet 1/0/24。
shell
system‑view
#1、定义高级ACL，只放行合法DHCP服务器源IP的UDP67应答报文
acl number 3000
rule permit udp source 10.0.100.10 0 destination any eq 67
rule deny udp source any destination any eq 67
#允许其他所有普通业务流量正常转发
rule permit ip

#2、定义流分类，匹配acl3000
traffic classifier DHCP‑FILTER operator and
if‑match acl 3000

#3、定义流行为，直接转发
traffic behavior DHCP‑FILTER
permit

#4、绑定流策略
qos policy DHCP‑POLICY
classifier DHCP‑FILTER behavior DHCP‑FILTER

#5、在上联口G1/0/24的入方向应用流策略（关键，过滤从上层进来的DHCP应答）
interface GigabitEthernet 1/0/24
port link‑mode trunk
dhcp‑snooping trust
qos apply policy DHCP‑POLICY inbound
quit

#6、DHCP‑Snooping基础配置确认
dhcp‑snooping enable
vlan 10
dhcp‑snooping enable vlan 10
quit
关键点解释
流策略inbound 应用在上联口：对从上层网络流入本交换机的报文做过滤；只允许源 IP 为合法 DHCP 服务器的 UDP‑67（DHCP 应答）报文，其他任何 DHCP 服务器的 Offer/ACK 报文直接丢弃。
客户端发出的 DHCP Discover/Request（源端口 UDP68）不受这条 ACL 影响，可以正常向上转发给上层所有 DHCP 服务器；但是非法 DHCP 服务器的回复报文会被拦截，终端收不到非法分配地址。
本配置不需要改动上层任何设备，完全在接入交换机实现。
验证命令
shell
#查看流策略命中计数，看deny的非法DHCP报文是否有计数增长
display qos policy interface GigabitEthernet 1/0/24 inbound

#查看dhcp‑snooping状态
display dhcp‑snooping

#查看acl匹配统计
display acl 3000
注意坑点
如果网络中存在DHCP 中继设备：DHCP 应答报文源 IP 是中继，不是原始 DHCP 服务器 IP，ACL 里面要写中继的 IP 作为 source，而不是 DHCP 服务器真实 IP。
流策略 inbound 是在上联口入方向；不要在终端接入口应用该策略。
S5500V2 Comware V5，流策略硬件 ACL 资源有限，如果大量 VLAN，注意资源告警。
这个方案只过滤 DHCP 服务器应答报文（UDP67），不会阻断 DHCP 客户端发出的请求报文。

请问这是何解