交换机dhcp snooping

### 配置和使用 DHCP Snooping

#### 启用全局 DHCP Snooping 功能
为了启用 DHCP Snooping，在 Cisco 交换机上需进入全局配置模式并激活该功能。命令如下：

switch(config)# ip dhcp snooping

此操作使能了整个设备上的 DHCP Snooping 功能[^1]。

#### 设置信任接口
定义哪些端口是可以信赖的，通常连接到上游路由器或另一台已知安全的 DHCP 服务器的端口应被标记为可信:

switch(config-if)# ip dhcp snooping trust

这一步骤对于防止恶意 DHCP 响应至关重要，只有来自受信端口的消息才会被认为是合法的。

#### 应用于特定VLAN
如果只需要针对某些 VLAN 实施保护，则可以指定这些 VLAN 来应用 DHCP Snooping 政策:

switch(config)# ip dhcp snooping vlan <vlan-id>

通过这种方式可以选择性地增强网络安全性而不影响其他部分的操作。

#### 查看绑定表项
一旦启用了 DHCP Snooping 并经过一段时间运行之后，可以通过查看绑定数据库来验证其工作状态以及记录下的客户端信息:

switch# show ip dhcp snooping binding

这条命令会展示当前存储的所有动态主机配置协议 (DHCP) 绑定条目及其关联细节。

#### 中兴交换机中的注意事项
值得注意的是，在中兴品牌的交换产品里，除了上述类似的配置外，还强调了 DHCP 的全局配置作为开启 DHCP Snooping 功能的前提条件，并指出正确的端口属性设定同样重要以保障正常的 DHCP 协议交互过程[^2]。