华为交换机DHCPsnooping配置教程Word格式文档下载.docx
《华为交换机DHCPsnooping配置教程Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《华为交换机DHCPsnooping配置教程Word格式文档下载.docx(10页珍藏版)》请在冰点文库上搜索。
<
cr>
或
[Huawei]dhcpsnoopingover-vplsenable*使能设备在VPLS网络中的DHCPSnooping功能
[Huawei-vlan2]dhcpsnoopingenable
[Huawei-GigabitEthernet0/0/3]dhcpsnoopingenable
2、配置接口信任状态
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingtrusted
[Huawei-vlan3]dhcpsnoopingtrustedinterfaceGigabitEthernet0/0/6
3、去使能DHCPSnooping用户位置迁移功能
在移动应用场景中,假设某一用户由接口A上线后,切换到接口B重新上线,用户将发送DHCPDiscover报文申请IP地址。
缺省情况下设备使能DHCPSnooping功能之后将允许该用户上线,并刷新DHCPSnooping绑定表。
但是在某些场景中,这样的处理方式存在平安风险,比方网络中存在攻击者仿冒合法用户发送DHCPDiscover报文,最终导致DHCPSnooping绑定表被刷新,合法用户网络访问中断。
此时需要去使能DHCPSnooping用户位置迁移功能,丢弃DHCPSnooping绑定表中已存在的用户〔用户MAC信息存在于DHCPSnooping绑定表中〕从其他接口发送来的DHCPDiscover报文。
[Huawei]undodhcpsnoopinguser-transferenable
4、配置ARP与DHCPSnooping的联动功能
DHCPSnooping设备在收到DHCP用户发出的DHCPRelease报文时将会删除该用户对应的绑定表项,但假设用户发生了异常下线而无法发出DHCPRelease报文时,DHCPSnooping设备将不能够及时的删除该DHCP用户对应的绑定表。
使能ARP与DHCPSnooping的联动功能,如果DHCPSnooping表项中的IP地址对应的ARP表项到达老化时间,那么DHCPSnooping设备会对该IP地址进展ARP探测,如果在规定的探测次数探测不到用户,设备将删除用户对应的ARP表项。
之后,设备将会再次按规定的探测次数对该IP地址进展ARP探测,如果最后仍不能够探测到用户,那么设备将会删除该用户对应的绑定表项。
只有设备作为DHCPRelay时,才支持ARP与DHCPSnooping的联动功能。
[Huawei]arpdhcp-snooping-detectenable
5、配置用户下线后及时去除对应MAC表项功能
当某一DHCP用户下线时,设备上其对应的动态MAC表项还未到达老化时间,那么设备在接收到来自网络侧以该用户IP地址为目的地址的报文时,将继续根据动态MAC表项转发此报文。
这种无效的报文处理在一定程度上将会降低设备的性能。
设备在接收到DHCP用户下线时发送DHCPRelease报文后,将会立刻删除用户对应的DHCPSnooping绑定表项。
利用这种特性,使能当DHCPSnooping动态表项去除时移除对应用户的MAC表项功能,那么当用户下线时,设备将会及时的移除用户的MAC表项。
[Huawei]dhcpsnoopinguser-offlineremovemac-address
6、配置丢弃GIADDR字段非零的DHCP报文
DHCP报文中的GIADDR〔GatewayIpAddress〕字段记录了DHCP报文经过的第一个DHCPRelay的IP地址,当客户端发出DHCP请求时,如果效劳器和客户端不在同一个网段,那么第一个DHCPRelay在将DHCP请求报文转发给DHCP效劳器时,会把自己的IP地址填入此字段,DHCP效劳器会根据此字段来判断出客户端所在的网段地址,从而选择适宜的地址池,为客户端分配该网段的IP地址。
图1多DHCP中继场景下DHCP报文处理流程〔以DHCPRequest报文为例〕
如上图1所示,在为了保证设备在生成DHCPSnooping绑定表时能够获取到用户MAC等参数,DHCPSnooping功能需应用于二层网络中的接入设备或第一个DHCPRelay上〔如图中的DHCPRelay1设备〕。
故DHCPSnooping设备接收到的DHCP报文中GIADDR字段必然为零,假设不为零那么该报文为非法报文,设备需丢弃此类报文。
在DHCP中继使能DHCPSnooping场景中,建议配置该功能。
通常情况下,PC发出的DHCP报文中GIADDR字段为零。
在某些情况下,PC发出的DHCP报文中GIADDR字段不为零,可能导致DHCP效劳器分配错误的IP地址。
为了防止PC用户伪造GIADDR字段不为零的DHCP报文申请IP地址,建议配置该功能。
[Huawei]dhcpsnoopingcheckdhcp-giaddrenablevlan?
INTEGER<
1-4094>
VirtualLANID
[Huawei-vlan5]dhcpsnoopingcheckdhcp-giaddrenable
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingcheckdhcp-giaddrenable
7、使能DHCPServer探测功能
在使能DHCPSnooping功能并配置了接口的信任状态之后,设备将能够保证客户端从合法的效劳器获取IP地址,这将能够有效的防止DHCPServer仿冒者攻击。
但是此时却不能够定位DHCPServer仿冒者的位置,使得网络中仍然存在着平安隐患。
通过配置DHCPServer探测功能,DHCPSnooping设备将会检查并在日志中记录所有DHCP回应报文中携带的DHCPServer地址与接口等信息,此后网络管理员可根据日志来判定网络中是否存在伪DHCPServer进而对网络进展维护。
[Huawei]dhcpserverdetect
8、防止DHCP报文泛洪攻击
在DHCP网络环境中,假设存在DHCP用户短时间向设备发送大量的DHCP报文,将会对设备的性能造成巨大的冲击以致可能会导致设备无常工作。
通过使能对DHCP报文上送DHCP报文处理单元的速率进展检测功能将能够有效防止DHCP报文泛洪攻击。
8.1、使能对DHCP报文上送DHCP报文处理单元的速率进展检测功能
[Huawei-vlan3]dhcpsnoopingcheckdhcp-rateenable*接口视图下命令一样
[Huawei]dhcpsnoopingcheckdhcp-rateenable?
INTEGER<
1-100>
Ratevalue(Unit:
pps)
alarmAlarm
8.2、DHCP报文上送DHCP报文处理单元的最大允许速率
[Huawei-vlan3]dhcpsnoopingcheckdhcp-rate?
enableEnable
[Huawei-vlan3]dhcpsnoopingcheckdhcp-rate80
8.3、使能当丢弃的DHCP报文数到达告警阈值时的告警功能
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingalarmdhcp-rateenable
8.4、配置接口下被丢弃的DHCP报文的告警阈值
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingalarmdhcp-ratethreshold?
1-1000>
Thresholdvalue(Unit:
packets)
9、防止仿冒DHCP报文攻击
在DHCP网络环境中,假设攻击者仿冒合法用户的DHCPRequest报文发往DHCPServer,将会导致用户的IP地址租约到期之后不能够及时释放,以致合法用户无法使用该IP地址;
假设攻击者仿冒合法用户的DHCPRelease报文发往DHCPServer,将会导致用户异常下线。
在生成DHCPSnooping绑定表后,设备可根据绑定表项,对DHCPRequest报文或DHCPRelease报文进展匹配检查,只有匹配成功的报文设备才将其转发,否那么将丢弃。
这将能有效的防止非法用户通过发送伪造DHCPRequest或DHCPRelease报文冒充合法用户续租或释放IP地址。
9.1、使能对从指定VLAN上送的DHCP报文进展绑定表匹配检查的功能
[Huawei]dhcpsnoopingcheckdhcp-requestenablevlan?
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingcheckdhcp-requestenable
9.2、使能与绑定表不匹配而被丢弃的DHCP报文数到达阈值时的DHCPSnooping告警功能
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingalarmdhcp-requestenable
9.3、DHCPSnooping丢弃报文数量的告警阈值。
[Huawei]dhcpsnoopingalarmthreshold?
9.4、与绑定表不匹配而被丢弃的DHCP报文的告警阈值
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingalarmdhcp-requestthreshold?
10、防止DHCPServer效劳拒绝攻击
假设在网络中存在DHCP用户恶意申请IP地址,将会导致IP地址池中的IP地址快速耗尽以致DHCPServer无法为其他合法用户分配IP地址。
另一方面,DHCPServer通常仅根据CHADDR〔clienthardwareaddress,客户端硬件地址〕字段来确认客户端的MAC地址。
如果攻击者通过不断改变DHCPRequest报文中的CHADDR字段向DHCPServer申请IP地址,将会导致DHCPServer上的地址池被耗尽,从而无法为其他正常用户提供IP地址。
为了防止某些端口的DHCP用户恶意申请IP地址,可配置接口允许学习的DHCPSnooping绑定表项的最大个数来控制上线用户的个数,当用户数到达该值时,那么任何用户将无法通过此接口成功申请到IP地址。
为了防止攻击者不断改变DHCPRequest报文中的CHADDR字段进展攻击,可使能检测DHCPRequest报文帧头MAC地址与DHCP数据区中CHADDR字段是否一样的功能,一样那么转发报文,否那么丢弃。
10.1、设备允许学习的DHCPSnooping绑定表项的最大个数
[Huawei]dhcpsnoopingmax-user-number?
1-1024>
Maxusernumbervalue
[Huawei]dhcpsnoopingmax-user-number20?
[Huawei]dhcpsnoopingmax-user-number20vlan?
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingmax-user-number?
10.2、DHCPSnooping绑定表的告警阈值百分比
[Huawei]dhcpsnoopinguser-alarmpercentagepercent-lower-valuepercent-upper-value
10.3、接口允许学习的DHCPSnooping绑定表项的最大个数。
[Huawei-vlan2]dhcpsnoopingmax-user-number?
10.4、使能检测DHCPRequest报文帧头MAC与DHCP数据区中CHADDR字段是否一致功能
[Huawei]dhcpsnoopingcheckdhcp-chaddrenablevlan?
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingcheckdhcp-chaddrenable?
[Huawei-vlan2]dhcpsnoopingcheckdhcp-chaddrenable
10.5、帧头MAC地址与DHCP数据区中CHADDR字段不匹配而被丢弃的DHCP报文的告警阈值
[Huawei-GigabitEthernet0/0/2]dhcpsnoopingalarmdhcp-chaddrthreshold?
11、在DHCP报文中添加Option82字段
为使DHCPServer能够获取到DHCP用户的准确物理位置信息,可在DHCP报文中添加Option82字段。
Option82选项记录了DHCPClient的位置信息。
设备通过在DHCP请求报文中添加Option82选项,可将DHCPClient的位置信息发送给DHCPServer,从而使得DHCPServer能够根据Option82选项的容为DHCPClient分配适宜的IP地址和其他配置信息,并可以实现对客户端的平安控制。
DHCPOption82必须配置在设备的用户侧,否那么设备向DHCPServer发出的DHCP报文不会携带Option82选项容。
11.1、在DHCP报文中添加Option82选项功能
[Huawei-vlan6]dhcpoption82?
insertInsertoption82intoDHCPpackets*插入
rebuildRebuildoption82intheDHCPpackets*重建
[Huawei-vlan6]dhcpoption82insert?
[Huawei-GigabitEthernet0/0/2]dhcpoption82?
circuit-idDHCPoption82sub-optionCircuitID
formatTheformatofDHCPoption82
insertInsertoption82intoDHCPpackets
rebuildRebuildoption82intheDHCPpackets
remote-idDHCPoption82sub-optionRemoteID
[Huawei-GigabitEthernet0/0/2]dhcpoption82rebuild?
11.2、配置Option82选项的格式
[Huawei-GigabitEthernet0/0/2]dhcpoption82vlan3circuit-idformat?
monmonformat.Circuit-ID:
"
%iftype%slot/%subslot/%port:
%svlan.%cvlan%sysname/0/0/0/0/0"
.
Remote-ID:
"
%mac"
defaultDefaultformat.Thesamewithglobaldhcpoption82formatconfiguration.
extendExtendformat.Circuit-ID:
0%length%svlan%5slot%3subslot%8port.Remote-ID:
0%length%mac*
user-definedTheformatofDHCPoption82definedbyuser*用户自定义格式
[Huawei]dhcpoption82remote-idformat?
%iftype
%slot/%subslot/%port:
Remote-ID:
defaultDefaultformat.Circuit-ID:
%portname:
%svlan.%cvlan
%sysname/0/0/0/0/0"
.Remote-ID:
0%length%svlan%5slot%3subslot
%8port.Remote-ID:
0%length%mac
user-definedTheformatofDHCPoption82definedbyuser
系统视图下或同一个接口视图下配置的所有Option82选项共用1~255个字节长度,因此,所有Option82选项长度之和不能超过255个字节,否那么会导致局部Option82选项信息丧失。
设备不限制配置多少个Option82选项,但是大量配置会占用很多存,并延长设备处理时间。
为保证设备性能,建议用户根据自身需要和设备存大小来配置Option82选项。