Switch - DHCP Snooping konfigurálása

DHCP Snooping: Megakadályozza, hogy a támadók vagy felhasználók saját DHCP-kiszolgálót adjanak a hálózathoz, és csak az IP-címek fehér listája férhet hozzá a hálózathoz. A DHCP snooping használatakor a DHCP-kiszolgálót csak "megbízható porton" helyezheti el. A megbízható portot a hálózati rendszergazda manuálisan határozhatja meg. Minden ügyfél a "Megbízható" DHCP-kiszolgálótól kaphatja meg az IP-címet. Minden DHCP IP-címkiosztás egy belső táblázatba, a "Snooping Table"-be is rögzítésre kerül.

Ez a táblázat a következő kulcsfontosságú attribútumokat tartalmazza:

• MAC-cím
• VLAN AZONOSÍTÓ
• IP-cím
• Port száma

Ha van kötés, a kapcsoló továbbítja a csomagot, vagy elveti, ha nem talál kötést.

Ha most egy másik DHCP-kiszolgáló is csatlakozik a hálózathoz, de egy "nem megbízható" porton található, akkor az összes DHCP-üzenetét elveti azon a porton, és így senki más nem kaphat IP-t ettől a nem engedélyezett DHCP-kiszolgálótól.

- Globális DHCP Snooping beállítása
- DHCP Snooping beállítása VLAN-hoz
- Mi lehet rosszul

1) A DHCP Snooping beállítása

1.1 A globális DHCP Snooping konfigurálása

Navigáljon a következő menüpontra:

Itt láthatja a DHCP Snooping engedélyezése után az adatbázis állapotát.

Navigáljon a következő helyre::

DHCP VLAN: Válasszon ki egy VLAN azonosítót, ha azt szeretné, hogy a switch a DHCP csomagokat egy adott VLAN (DHCP-kiszolgáló VLAN-ja) DHCP-kiszolgálóinak továbbítsa.

Megjegyzés: A DHCP snoopingot a DHCP VLAN-on (DHCP-kiszolgáló VLAN-ja) is engedélyeznie kell.

1.2 Megbízható port konfigurálása

Konfigurálja a kiszolgáló megbízható állapotát a következő navigációval:

Megbízható port: DHCP-kiszolgálókhoz vagy más kapcsolókhoz csatlakoztatott portokhoz.

Nem megbízható port: az ügyfelekhez és nem megbízható DHCP-kiszolgálókhoz csatlakozó portokhoz, és a kapcsoló a nem megbízható portokról érkező DHCP-csomagokat a következő helyzetekben elveti:

1. A csomag DHCP-kiszolgálói csomag (például OFFER, ACK vagy NACK).
2. A csomagban szereplő forrás MAC-cím és forrás IP-cím nem felel meg az aktuális kötések egyikének sem.
3. A csomag RELEASE vagy DECLINE csomag, és a forrás MAC-cím és a forrásport nem egyezik meg az aktuális kötések egyikével sem.
4. A DHCP-csomagok beérkezési sebessége túl magas.

Megjegyzés: adja meg a DHCP-csomagok maximális számát (1-2048), amelyet a Switch minden egyes portról másodpercenként fogad. A kapcsoló minden további DHCP-csomagot elvet. Adja meg a 0 értéket a korlátozás letiltásához, ami a megbízható portok esetében ajánlott.

1.3 DHCP Snooping beállítása VLAN-hoz

Mielőtt a DHCP Snooping megfelelően működne a VLAN számára, konfigurálnia kell a DHCP Snooping VLAN konfigurációt.

Navigáljon a következő menüpontra:

1.4 A konfiguráció mentése

Ne felejtsd el elmenteni a konfigurációdat, amikor a konfigurálást végzed. Ha nem menti el a konfigurációt, akkor a kapcsoló újraindításakor visszaáll az előző konfiguráció.

1.4 Mi romolhat el

Néha előfordulhat, hogy a DHCP snooping nem működik megfelelően, az alábbiakban megtalálhatja az okokat és a megoldási lehetőségeket:

Ha aktiválta a DHCP Snoopingot a kapcsoló konfigurációs oldalán.

És ennek megfelelően állítsa be a megbízható és nem megbízható portokat is:

Ahhoz, hogy a DHCP Snooping működjön, ki kell választani a VLAN-t a jobb felső sarokban.

Engedélyezze azt a VLAN-t, amelyen a DHCP Snoopingot szeretné bevezetni.

2) A DHCP Snooping konfigurálása a hagyományos GUI-n

Speciális alkalmazás > IP-forrásvédelem > IPv4-forrásvédelem beállítása > DHCP Snooping > Konfigurálás

DHCP VLAN: Válassza ki a VLAN azonosítót, ha azt szeretné, hogy a switch a DHCP csomagokat egy adott VLAN (DHCP-kiszolgáló VLAN-ja) DHCP-kiszolgálóinak továbbítsa.

Megjegyzés: A DHCP-szimatolást a DHCP VLAN-on (a DHCP-kiszolgáló VLAN-ján) is engedélyeznie kell.

A megbízható port beállítása

• Speciális alkalmazás > IP Source Guard > IPv4 Source Guard beállítása > DHCP Snooping > Konfigurálás > P

Megbízható port: DHCP-kiszolgálókhoz vagy más kapcsolókhoz csatlakoztatott portokhoz.

Nem megbízható port: az ügyfelekhez és nem megbízható DHCP-kiszolgálókhoz csatlakozó portokhoz, és a kapcsoló a nem megbízható portokról érkező DHCP-csomagokat a következő helyzetekben elveti:

1. A csomag DHCP-kiszolgálói csomag (például OFFER, ACK vagy NACK).
2. A csomagban szereplő forrás MAC-cím és forrás IP-cím nem felel meg az aktuális kötések egyikének sem.
3. A csomag RELEASE vagy DECLINE csomag, és a forrás MAC-cím és a forrásport nem egyezik meg az aktuális kötések egyikével sem.
4. A DHCP-csomagok beérkezési sebessége túl magas.

Megjegyzés: adja meg a DHCP-csomagok maximális számát (1-2048), amelyet a Switch minden egyes portról másodpercenként fogad. A kapcsoló minden további DHCP-csomagot elvet. Adja meg a 0 értéket a korlátozás letiltásához, ami a megbízható portok esetében ajánlott.

A DHCP Snooping beállítása a VLAN számára

• Speciális alkalmazás > IP-forrásvédelem > IPv4-forrásvédelem beállítása > DHCP Snooping > Konfigurálás > VLAN

Mi lehet rosszul:

Az alábbiakban megtalálhatja az okát és a megoldási lehetőségeket: Aktiváltam a DHCP Snoopingot a kapcsoló konfigurációs oldalán.

És ennek megfelelően beállítottam a megbízható és nem megbízható portokat is.

Ahhoz, hogy a DHCP Snooping működjön, ki kell választani a VLAN-t a jobb felső sarokban.

Engedélyezze azt a VLAN-t, amelyen a DHCP Snoopingot szeretné bevezetni.