思科交换机配置 dhcp snoopy

Cisco交换机配置DHCP Snooping是为了增强网络安全，防止未经授权的用户从网络上获取IP地址。DHCP Snooping是一种动态主机配置协议（DHCP）的安全功能，它允许交换机监控并验证从DHCP服务器接收到的IP分配请求。以下是基本配置步骤：

1. **启用全局DHCP Snooping**：

   enable
   configure terminal
   interface range <interface-list> (e.g., interface FastEthernet0/1-48)
   switchport mode access
   spanning-tree bpduguard enable
   ip dhcp snooping

这里`<interface-list>`指定了需要监视的端口。

2. **配置信任接口**：
如果有特定的接口不需要进行检查，可以设置为信任接口，如接入用户的端口：

   switchport trust untrust

3. **配置信任和非信任VLAN**：
确定哪些VLAN应该接收来自DHCP服务器的回应，通常是管理VLAN：

   vlan <vlan-id>
   ip dhcp snooping trust

4. **绑定DHCP服务器的MAC地址**：
防止非法设备响应DHCP请求，可以绑定合法DHCP服务器的MAC地址：

   ip dhcp snooping binding static <ip-address> <mac-address>

5. **启用并配置动态绑定期限**：
可以设置静态绑定的有效期，超过期限则会自动解除绑定：

   ip dhcp snooping binding aging-time <time-period>

6. **通告端口状态到DHCP服务器**：

   dhcp server inform interval <interval-time>

完成以上配置后，DHCP Snooping会在指定的接口上启用，并对 DHCP 报文进行检查，只允许来自已知 DHCP 服务器的报文进入网络。