DHCP snooping
§§IBT7§§¶@definition¶DHCP snooping — функция коммутатора, фильтрующая недоверенные DHCP-сообщения и формирующая доверенную таблицу привязок.¶@plain¶DHCP snooping — функция коммутатора, которая различает доверенные и недоверенные порты и пропускает серверные DHCP-ответы только там, где они ожидаются. Она мешает постороннему устройству назначить клиентам ложный шлюз или DNS-сервер.¶@use¶На access-коммутаторах доверенными отмечают только направления к легитимному DHCP-серверу или relay, ограничивают скорость сообщений и формируют таблицу привязок IP–MAC–VLAN–порт. Эту таблицу могут использовать Dynamic ARP Inspection и IP Source Guard.¶@example¶Пользователь подключает домашний роутер в офисную розетку. Его DHCP Offer приходит с недоверенного access-порта и отбрасывается, тогда как ответ корпоративного сервера через uplink принимается и создаёт binding для клиента.¶@compare¶Dynamic ARP Inspection¦¦Dynamic ARP Inspection использует привязки для проверки ARP, но решает другую задачу.¶@steps¶Разделить порты¦Администратор отмечает uplink к серверу как trusted, а клиентские порты оставляет untrusted.¤Проверить сообщение¦Коммутатор анализирует тип DHCP-пакета, направление, VLAN и допустимую скорость.¤Принять или отбросить¦Серверный ответ с недоверенного порта блокируется, легитимный обмен проходит.¤Сохранить привязку¦После выдачи адреса формируется binding, который используют другие функции защиты и расследование.¶@resources¶¶@related¶¶@faq¶DHCP snooping заменяет 802.1X?¦Нет. 802.1X контролирует допуск устройства или пользователя, а DHCP snooping защищает процесс выдачи сетевых параметров.¤Что произойдёт при неверном trusted-порте?¦Легитимные ответы могут блокироваться либо злоумышленник получит возможность отправлять серверные сообщения, поэтому конфигурацию проверяют на каждом пути.¤Работает ли функция со статическим IP?¦Она не управляет ручным адресом напрямую; дополнительные механизмы могут использовать статические привязки и фильтрацию источника.