DHCP snooping
Простыми словами
DHCP snooping — функция коммутатора, которая различает доверенные и недоверенные порты и пропускает серверные DHCP-ответы только там, где они ожидаются. Она мешает постороннему устройству назначить клиентам ложный шлюз или DNS-сервер.
Как применяется
На access-коммутаторах доверенными отмечают только направления к легитимному DHCP-серверу или relay, ограничивают скорость сообщений и формируют таблицу привязок IP–MAC–VLAN–порт. Эту таблицу могут использовать Dynamic ARP Inspection и IP Source Guard.
Пример применения
Пользователь подключает домашний роутер в офисную розетку. Его DHCP Offer приходит с недоверенного access-порта и отбрасывается, тогда как ответ корпоративного сервера через uplink принимается и создаёт binding для клиента.
Не путать с
- Dynamic ARP InspectionDynamic ARP Inspection использует привязки для проверки ARP, но решает другую задачу.
Как это работает
- Разделить портыАдминистратор отмечает uplink к серверу как trusted, а клиентские порты оставляет untrusted.
- Проверить сообщениеКоммутатор анализирует тип DHCP-пакета, направление, VLAN и допустимую скорость.
- Принять или отброситьСерверный ответ с недоверенного порта блокируется, легитимный обмен проходит.
- Сохранить привязкуПосле выдачи адреса формируется binding, который используют другие функции защиты и расследование.
Частые вопросы
Нет. 802.1X контролирует допуск устройства или пользователя, а DHCP snooping защищает процесс выдачи сетевых параметров.
Что произойдёт при неверном trusted-порте?Легитимные ответы могут блокироваться либо злоумышленник получит возможность отправлять серверные сообщения, поэтому конфигурацию проверяют на каждом пути.
Работает ли функция со статическим IP?Она не управляет ручным адресом напрямую; дополнительные механизмы могут использовать статические привязки и фильтрацию источника.