钟文基，董英

（广西水利电力职业技术学院，广西南宁530023)

利用DHCP监听技术解决局域网故障

钟文基，董英

（广西水利电力职业技术学院，广西南宁530023)

在企业的局域网中，通过架设DHCP服务器，用户可以动态获取IP地址等网络参数，能减少网络配置，减轻网络管理员的工作量，提高工作效率。然而，在客户端自动获取IP地址的网络中，如果局域网中出现多台DHCP服务器，就会造成计算机获取到错误的地址信息，导致网络故障。通过DHCP监听技术，可以阻挡非法的DHCP服务器对网络造成破环，减少故障的可能性。

DHCP；监听；信任端口；DAI；IPSG

1 DHCP监听简介

DHCP监听（DHCP Snooping）是一种DHCP安全特性。通过这一安全特性，能拦截局域网内出现的非法DHCP报文，预防客户机获取到错误的IP地址信息。启用DHCP监听特性的交换机，设置了信任端口和非信任端口，只转发来自于信任端口的DHCP Offer报文，对于非信任端口的DHCP Offer报文，则丢弃。同时，为了防止DHCP耗竭攻击，交换机会比较DHCP请求报文头部的源MAC地址和报文内容里的DHCP客户机的硬件地址，如果两者不一致，也会丢弃请求报文。

2 企业网络中DHCP的常见的问题

1)DHCP服务器的冒充

在企业网络中，如果出现假冒的DHCP服务器，就会给企业的网络的稳定运行带来风险。由于客户机和服务器之间没有认证机制，客户机开机后，可能从私设DHCP服务器处获取到错误的地址信息，导致网络故障，轻者用户无法上网，重者造成信息泄露。如图1

图1 DHCP服务器冒充

2)DHCP服务器的拒绝服务攻击

攻击者利用伪造的计算机物理地址发送DHCP请求，使得DHCP服务器的地址被耗尽，地址枯竭后服务器就没有足够的资源为其他合法计算机分配地址，造成网络不正常。……