网络知识-14 dhcp 高级配置（dhcpsnooping配置指南）

① 简单的dhcp 配置（基于接口的dhcp）interface Ethernet0/0/0dhcp select interfacedhcp server dns-list 114.114.114.114 8.8.8.8注意：分配接口所在的ip网段，接口地址作为网关。

注意：用户发送的第一个报文：源地址是0.0.0.0 目标地址是

255.255.255.255 。② dhcp 中继 ：dhcp relay

dhcp 调试命令：

dis ip pool 查看dhcp 池摘要

显示dhcp 哪些地址被使用

dis ip pool interface vlanif100 used

dis ip pool int Ethernet0/0/0/0 used

重置dhcp 分配记录

reset ip pool interface vlanif100 used

reset ip pool interface Ethernet0/0/0/0 used

reset ip pool name a used

注意：Ethernet0/0/0/0 不要简写

R2:（模拟dhcp server）

ip pool a

gateway-list 192.168.8.1

network 192.168.8.0 mask 255.255.255.0

dns-list 114.114.114.114 8.8.8.8

ip pool b

gateway-list 192.168.9.1

network 192.168.9.0 mask 255.255.255.0

dns-list 114.114.114.114 8.8.8.8

int e0/0/0

dhcp select global

ip route-s 0.0.0.0 0 12.1.1.1 模拟网关

vlan trunk 配置略

dhcp中继：

sw1：

interface Vlanif8ip address 192.168.8.1 255.255.255.0

dhcp select relay

dhcp relay server-ip 12.1.1.2

interface Vlanif9

ip address 192.168.9.1 255.255.255.0

dhcp select relay

dhcp relay server-ip 12.1.1.2

dhcp 中继原理：由于dhcp服务器和用户不在同一个vlan(即不在一个广播

域），因此dhcp 广播报文无法发送到dhcp 服务器，此时在核心交换机上面

配置dhcp中继 将dhcp 广播请求变为单播发送到dhcp 服务器。源地址由

0.0.0.0 变成相应vlanif 接口的ip地址，目标地址由255.255.255.255 变成

dhcp 服务器的单播地址。广播包变成单播包被中继到dhcp 服务器，完成地

址分配。

③ dhcp snooping ：防止非法的dhcp 服务器

接入层交换机：

sw2：

dhcp enable

dhcp snooping enable

vlan 8

dhcp snooping enable

int e0/0/2 将上联口设置为信任接口（默认所有的接口都是非信任口）

dhcp snooping trusted

sw3：和sw2 类似

④ dhcp 可选配置

排除地址：

R2：ip pool a

excluded-ip-address 192.168.8.250 192.168.8.254

给固定该的mac地址分配固定的ip地址：

ip pool a

static-bind ip-address 192.168.8.8 mac-address 5489-987d-4dff

注意：如果指令报冲突错误，需要在用户端ipconfig /release 即可。

⑤ dhcp 安全防护

禁止用户手动配置静态ip地址，防止ip地址冲突（模拟器不支

持）

利用dhcp snooping 建立ip-mac-接口 的检查映射表项（适合

企业用户采用动态ip获取的企业）

接入交换机：

dis dhcp snooping user-bind all

该表是一个动态表，插拔接口 或者从新获取地址，该表都会被

刷新掉！

注意：该映射表是交换机通过窥探dhcp 报文而建立的映射表。

int e0/0/1 (连接用户的接口）

ip source check user-bind enable 开启ip源地址检查功能

此时如果用户手动配置静态地址，由于接口没有映射，此时交换机会直接将

报文丢弃。（模拟器bug ，不支持）

使用user-bind static 静态建立ip-mac-接口 检查表项（这种方

法适用于企业静态给用户配置ip地址的情况）：防止用户私自修

改ip地址。

全局 user-bind static ip-address 192.168.31.7 mac-address

0021-cccf-1d28 interface Ethernet0/0/2

interface Ethernet0/0/2

ip source check user-bind enable

即可 接在e0/0/2口的PC 只能是31.7 mac是1d28 才可以 通过

e0/0/2口 若ip和mac 不匹配则报文将被直接丢弃 （模拟器bug

不支持）。

查看用户手动静态的绑定表项

s2700 EI (V100R005)

查看用户手动静态的绑定表项

模拟器 s3700 （V200R001）

可选配置：

将dhcp snooping 动态绑定表项 保存到flash 防止重启丢失

[ ]dhcp snooping user-bind autosave flash:/backup.tbl