图1 多DHCP中继场景下DHCP报文处理流程（以DHCP Request报文为例）

    如上图1所示，在为了保证设备在生成DHCP Snooping绑定表时能够获取到用户MAC等参数，DHCP Snooping功能需应用于二层网络中的接入设备或第一个DHCP Relay上（如图中的DHCP Relay1设备）。

    故DHCP Snooping设备接收到的DHCP报文中GIADDR字段必然为零，若不为零则该报文为非法报文，设备需丢弃此类报文。在DHCP中继使能DHCP Snooping场景中，建议配置该功能。

    通常情况下，PC发出的DHCP报文中GIADDR字段为零。在某些情况下，PC发出的DHCP报文中GIADDR字段不为零，可能导致DHCP服务器分配错误的IP地址。为了防止PC用户伪造GIADDR字段不为零的DHCP报文申请IP地址，建议配置该功能。

[Huawei]dhcp snooping check dhcp-giaddr enable vlan ?

  INTEGER<1-4094>  Virtual LAN ID

或

[Huawei-vlan5]dhcp snooping check dhcp-giaddr enable

或

[Huawei-GigabitEthernet0/0/2]dhcp snooping  check dhcp-giaddr enable

7、使能DHCP Server探测功能

    在使能DHCP Snooping功能并配置了接口的信任状态之后，设备将能够保证客户端从合法的服务器获取IP地址，这将能够有效的防止DHCP Server仿冒者攻击。

    但是此时却不能够定位DHCP Server仿冒者的位置，使得网络中仍然存在着安全隐患。

    通过配置DHCP Server探测功能，DHCP Snooping设备将会检查并在日志中记录所有DHCP回应报文中携带的DHCP Server地址与接口等信息，此后网络管理员可根据日志来判定网络中是否存在伪DHCP Server进而对网络进行维护。

[Huawei]dhcp server detect

8、防止DHCP报文泛洪攻击

    在DHCP网络环境中，若存在DHCP用户短时间内向设备发送大量的DHCP报文，将会对设备的性能造成巨大的冲击以致可能会导致设备无法正常工作。通过使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能将能够有效防止DHCP报文泛洪攻击。

8.1、使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能

[Huawei-vlan3]dhcp snooping check dhcp-rate enable   # 接口视图下命令一样

或

[Huawei]dhcp snooping  check dhcp-rate enable ?

  INTEGER<1-100>  Rate value (Unit:pps)

  alarm           Alarm

  vlan            Virtual LAN

  <cr> 

8.2、DHCP报文上送DHCP报文处理单元的最大允许速率

[Huawei-vlan3]dhcp snooping check dhcp-rate ?

  INTEGER<1-100>  Rate value (Unit:pps)

  enable          Enable

[Huawei-vlan3]dhcp snooping check dhcp-rate 80

8.3、使能当丢弃的DHCP报文数达到告警阈值时的告警功能

[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-rate enable

8.4、配置接口下被丢弃的DHCP报文的告警阈值

[Huawei-GigabitEthernet0/0/2]dhcp snooping  alarm dhcp-rate threshold ?

  INTEGER<1-1000>  Threshold value (Unit:packets)

9、防止仿冒DHCP报文攻击

    在DHCP网络环境中，若攻击者仿冒合法用户的DHCP Request报文发往DHCP Server，将会导致用户的IP地址租约到期之后不能够及时释放，以致合法用户无法使用该IP地址；若攻击者仿冒合法用户的DHCP Release报文发往DHCP Server，将会导致用户异常下线。

    在生成DHCP Snooping绑定表后，设备可根据绑定表项，对DHCP Request报文或DHCP Release报文进行匹配检查，只有匹配成功的报文设备才将其转发，否则将丢弃。

    这将能有效的防止非法用户通过发送伪造DHCP Request或DHCP Release报文冒充合法用户续租或释放IP地址。

9.1、使能对从指定VLAN内上送的DHCP报文进行绑定表匹配检查的功能

[Huawei]dhcp snooping check  dhcp-request enable vlan ?

  INTEGER<1-4094>  Virtual LAN ID

或

[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-request enable

9.2、使能与绑定表不匹配而被丢弃的DHCP报文数达到阈值时的DHCP Snooping告警功能

[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-request enable

9.3、DHCP Snooping丢弃报文数量的告警阈值。

[Huawei]dhcp snooping  alarm threshold ?

  INTEGER<1-1000>  Threshold value (Unit:packets)

9.4、与绑定表不匹配而被丢弃的DHCP报文的告警阈值

[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm  dhcp-request threshold ?

  INTEGER<1-1000>  Threshold value (Unit:packets)

10、防止DHCP Server服务拒绝攻击

    若在网络中存在DHCP用户恶意申请IP地址，将会导致IP地址池中的IP地址快速耗尽以致DHCP Server无法为其他合法用户分配IP地址。

    另一方面，DHCP Server通常仅根据CHADDR（client hardware address，客户端硬件地址）字段来确认客户端的MAC地址。如果攻击者通过不断改变DHCP Request报文中的CHADDR字段向DHCP Server申请IP地址，将会导致DHCP Server上的地址池被耗尽，从而无法为其他正常用户提供IP地址。

    为了防止某些端口的DHCP用户恶意申请IP地址，可配置接口允许学习的DHCP Snooping绑定表项的最大个数来控制上线用户的个数，当用户数达到该值时，则任何用户将无法通过此接口成功申请到IP地址。

    为了防止攻击者不断改变DHCP Request报文中的CHADDR字段进行攻击，可使能检测DHCP Request报文帧头MAC地址与DHCP数据区中CHADDR字段是否相同的功能，相同则转发报文，否则丢弃。

10.1、设备允许学习的DHCP Snooping绑定表项的最大个数

[Huawei]dhcp snooping max-user-number ?

  INTEGER<1-1024>  Max user number value

[Huawei]dhcp snooping max-user-number 20 ?

  vlan  Virtual LAN

  <cr> 

[Huawei]dhcp snooping max-user-number 20 vlan ?

  INTEGER<1-4094>  Virtual LAN ID

或

[Huawei-GigabitEthernet0/0/2]dhcp snooping max-user-number ?

  INTEGER<1-1024>  Max user number value

10.2、DHCP Snooping绑定表的告警阈值百分比

[Huawei] dhcp snooping user-alarm percentage percent-lower-value percent-upper-value

10.3、接口允许学习的DHCP Snooping绑定表项的最大个数。

[Huawei-GigabitEthernet0/0/2]dhcp snooping max-user-number ?

  INTEGER<1-1024>  Max user number value

或

[Huawei-vlan2]dhcp snooping max-user-number ?

  INTEGER<1-1024>  Max user number value

10.4、使能检测DHCP Request报文帧头MAC与DHCP数据区中CHADDR字段是否一致功能

[Huawei]dhcp snooping  check dhcp-chaddr enable vlan ?

  INTEGER<1-4094>  Virtual LAN ID

或

[Huawei-GigabitEthernet0/0/2]dhcp snooping check dhcp-chaddr enable ?

  alarm  Alarm

  <cr>  

或

[Huawei-vlan2]dhcp  snooping  check dhcp-chaddr enable

10.5、帧头MAC地址与DHCP数据区中CHADDR字段不匹配而被丢弃的DHCP报文的告警阈值

[Huawei-GigabitEthernet0/0/2]dhcp snooping alarm dhcp-chaddr  threshold ?

  INTEGER<1-1000>  Threshold value (Unit:packets)

11、在DHCP报文中添加Option82字段

为使DHCP Server能够获取到DHCP用户的精确物理位置信息，可在DHCP报文中添加Option82字段。

Option82选项记录了DHCP Client的位置信息。

设备通过在DHCP请求报文中添加Option82选项，可将DHCP Client的位置信息发送给DHCP Server，从而使得DHCP Server能够根据Option82选项的内容为DHCP Client分配合适的IP地址和其他配置信息，并可以实现对客户端的安全控制。

DHCP Option82必须配置在设备的用户侧，否则设备向DHCP Server发出的DHCP报文不会携带Option82选项内容。

11.1、在DHCP报文中添加Option82选项功能

[Huawei-vlan6]dhcp  option82 ?

  insert   Insert option82 into DHCP packets    #  插入

  rebuild  Rebuild option82 in the DHCP packets  # 重建

[Huawei-vlan6]dhcp  option82 insert ?

  enable  Enable

或

[Huawei-GigabitEthernet0/0/2]dhcp option82 ?

  circuit-id  DHCP option82 sub-option Circuit ID

  format      The format of DHCP option82

  insert      Insert option82 into DHCP packets

  rebuild     Rebuild option82 in the DHCP packets

  remote-id   DHCP option82 sub-option Remote  ID

  vlan        Virtual LAN

[Huawei-GigabitEthernet0/0/2]dhcp option82 rebuild ?

  enable  Enable

11.2、配置Option82选项的格式

[Huawei-GigabitEthernet0/0/2]dhcp option82 vlan 3 circuit-id format ?

  common        Common format. Circuit-ID:"%iftype%slot/%subslot/%port:%svlan.%cvlan %sysname/0/0/0/0/0".

Remote-ID: "%mac"

  default       Default format. The same with global dhcp option82 formatconfiguration.

  extend        Extend format. Circuit-ID: 0 %length %svlan %5slot %3subslot%8port. Remote-ID: 0 %length %mac  #

  user-defined  The format of DHCP option82 defined by user  # 用户自定义格式

或

[Huawei]dhcp option82 remote-id format ?

  common        Common format. Circuit-ID:"%iftype

                %slot/%subslot/%port:%svlan.%cvlan %sysname/0/0/0/0/0".

                Remote-ID: "%mac"

  default       Default format. Circuit-ID:"%portname:%svlan.%cvlan

                %sysname/0/0/0/0/0". Remote-ID: "%mac"

  extend        Extend format. Circuit-ID: 0 %length %svlan %5slot %3subslot

                %8port. Remote-ID: 0 %length %mac

  user-defined  The format of DHCP option82 defined by user

系统视图下或同一个接口视图下配置的所有Option82选项共用1～255个字节长度，因此，所有Option82选项长度之和不能超过255个字节，否则会导致部分Option82选项信息丢失。

设备不限制配置多少个Option82选项，但是大量配置会占用很多内存，并延长设备处理时间。为保证设备性能，建议用户根据自身需要和设备内存大小来配置Option82选项。