引言：用DHCP方式获得IP地址的方法，经常出现计算机终端获得其他网段地址或因为地址冲突导致不能正常上网的问题。遇到这类问题，我们应该怎么办呢？本文就要介绍一下如何综合采用DHCP Snooping与ARP Detection技术来彻底解决这类问题。

笔者朋友维护的一个企业网（网络拓扑结构如图1所示），计算机终端均通过DHCP方式获得IP地址。

最近，网内经常出现计算机终端获得其他网段地址或者因地址冲突导致不能正常上网的问题。

经查发现，获得其他网段地址是由于网内存在私自架设的DHCP服务器，导致DHCP客户端获取错误的IP地址和网络配置参数；地址冲突则是因为部分计算机私自配置了静态地址造成与通过DHCP方式获得IP的计算机地址冲突。

此类问题的频繁发生，已经严重影响了正常工作。考虑到网内均采用H3C s3600和s3100交换机，因此可以综合采用DHCP Snooping与ARP Detection技术来彻底解决这类问题。

图1 网络拓扑结构

DHCP Snooping和ARP Detection技术介绍

1.DHCP Snooping

DHCP Snooping技术是DHCP的安全特性，通过建立和维护DHCP Snooping绑定表来过滤不可信任的DHCP信息。具有如下功能：

(1)保证客户端从指定的DHCP服务器获取IP地址。

DHCP Snooping安全机制允许将端口设置为信任端口和不信任端口。

信任端口正常转发接收到的DHCP报文。不信任端口则在接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER 报文后，丢弃该报文，从而屏蔽假冒的DHCP Server。

(2) 记录DHCP客户端IP地址与MAC 地址的对应关系。

DHCP Snooping 通过监听DHCP-REQUEST和信任端口收到的DHCPACK广播报文来记录DHCP Snooping表 项，这些信息也可以作为ARP Detection判断发送ARP报文的用户合法与否的依据之一，从而防止非法用户的ARP攻击。……