DHCP Snooping实战：防御仿冒服务器与饿死攻击的信任边界模型

2. 先弄明白：DHCP仿冒者攻击到底是怎么把全网搞瘫的

要理解DHCP Snooping为什么能防仿冒服务器，得先彻底吃透DHCP协议的工作流程，以及攻击者是在哪个环节钻的空子。

2.1 DHCP的四步握手：一个“酒店前台发房卡”的模型

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）做的事情，说白了就是给接入网络的设备自动分配IP地址、网关、DNS这些“网络身份信息”。标准流程是四步广播交互：

1. DHCP Discover（发现）：终端刚插上网线，发现自己没有IP地址，于是向全网发送广播：“我是新来的，谁能给我分配一个地址？”
2. DHCP Offer（提供）：网络里的DHCP服务器收到广播后，从地址池里挑一个空闲IP，单播或广播回给终端：“给你这个地址，网关是X，DNS是Y，租期8小时。”
3. DHCP Request（请求）：终端可能同时收到多台服务器的Offer（没错，网络里可能存在多台合法服务器），它从中选一个，再广播回去：“我选定了某个地址，请大家确认。”这个广播的目的，是通知其他服务器“我不用你的地址了”。
4. DHCP Ack（确认）：被选中的服务器最后确认：“好，这个地址归你了。”终端拿到Ack之后，才敢真正把IP配置到网卡上。

整个过程完全可以类比成酒店入住：客人到前台说“我要开一间房”（Discover），前台查了一下房态说“有，802房间，这是房卡”（Offer），客人确认“就802吧”（Request），前台登记完给出最终确认“好的，住吧，退房时间是明天中午”（Ack）。

这个流程本身非常高效，但有一个致命的隐含假设：终端无条件相信所有收到的Offer和Ack。协议在设计时，压根没有要求终端去验证“这台服务器到底是不是真的管理员部署的”。这就给仿冒者攻击留下了巨大的空间。

2.2 仿冒服务器攻击：抢答！抢答！先到先得

仿冒者攻击的本质，是攻击者在内网里私接了一个设备（通常是开启了DHCP服务的无线路由器、软路由，或者干脆是一台跑了DHCP服务的笔记本），这个设备会在别人发起Discover广播时，抢在真正的DHCP服务器之前回送Offer。

为什么仿冒者能“抢”赢？因为DHCP应答靠的是广播竞争，终端同时收到两个Offer时，绝大多数操作系统（Windows、Android、iOS）的做法是：谁先到就选谁。仿冒设备就在终端旁边，物理距离近、转发路径短，所以它的Offer几乎总是能赢。

攻击者把Offer里的默认网关设置成自己的IP，把DNS服务器也设置成自己控制的地址，终端傻乎乎地拿着这套配置就上网了。这时候会发生什么？

• 终端所有的上网流量都先经过攻击者的设备，攻击者可以做流量的抓包分析、篡改网页内容、劫持DNS解析，把用户导向钓鱼网站。
• 更隐蔽的是，用户基本感知不到异常：能上网，网速好像也还行，只是偶尔打开网页会弹一些奇怪的广告。
• 终端获取的IP地址可能还不在合法地址池范围内，与合法网络完全隔离，导致内网互访失败、打印服务器连不上、文件共享全断。

而最让人头疼的情况是：如果仿冒服务器和合法服务器同时存在，又都不肯让位，终端就会在合法网络和仿冒网络之间反复横跳，表现出来就是网络“时好时坏”，刚刚还能用的OA系统突然就打不开了，过一会儿又恢复了。这种间歇性故障在排障时极其迷惑人。

2.3 不只是抢应答：DHCP饿死攻击同样要命

除了仿冒服务器应答之外，还有一种常见攻击方式叫DHCP饿死攻击（DHCP Starvation Attack）。攻击者不需要架设服务器，只需要不断发送伪造MAC地址的Discover请求，把合法服务器的地址池大量占用，直到地址池枯竭。

具体来说，攻击者用工具随机生成成千上万个虚拟MAC地址，每个MAC地址都去请求一个IP。DHCP协议本身没有对“同一物理端口能同时在线多少台设备”做限制，所以服务器会傻乎乎地把地址一个个分配出去。当地址池被全部耗尽后，新的合法终端再来请求时，服务器就无地址可发了。结果就是整个办公室新接入的设备上不了网，老设备的租约到期后也无法续租，网络从“瘫痪部分”变成“瘫痪全体”。

这两种攻击一个在“响应端”做手脚，一个在“请求端”做手脚，但根本原因是一致的：网络基础设施对DHCP报文缺乏身份验证和来源检查。而DHCP Snooping恰恰就是用来补齐这个短板的。

3. 建立信任边界：DHCP Snooping的防御原理与适用边界

很多人第一次听到DHCP Snooping这个名字，容易把它当成一个简单的交换机功能开关。其实它背后是一个相当经典的“信任边界”模型——你只要把这个模型想清楚了，后面配置什么命令都不会乱。

3.1 信任端口与非信任端口：先回答“谁配发IP是合法的”

DHCP Snooping的核心思想，是在交换机上区分出两类物理端口：

• 信任端口（Trusted）：连接合法DHCP服务器的端口。这个端口上接收到的DHCP Offer、Ack、Nak等响应报文，交换机放行。
• 非信任端口（Untrusted）：连接终端用户的普通接入端口。按照默认逻辑，终端端口只能发出Discover和Request请求报文，禁止接收任何来自“服务器方向”的响应报文。

换句话说，交换机不再信任任何接口上凭空出现的DHCP服务器应答，只允许它从你明确指定的上行口进来。这个思路和防火墙的“白名单”如出一辙：不是去识别谁坏，而是直接规定“我只认这一个来源”。

需要注意一个很多人理解错的地方：非信任端口禁的是响应报文（Offer/Ack），不是请求报文。用户的Discover依然能正常发出，也能正常收到Ack——只不过这个Ack只有从信任端口进来才有效。如果攻击者在用户端口上私接了一个伪造DHCP服务器，它的Offer一旦进入交换机，会被直接丢弃，终端压根收不到。

3.2 绑定数据库与报文限速：把饿死攻击也一并堵上

光靠端口信任模型，解决了仿冒服务器问题，但还堵不住DHCP饿死攻击。Snooping为此引入了两个配套机制：

• DHCP Snooping Binding Table（绑定表）：交换机在非信任端口上，监听每一台终端成功获取IP的完整交互过程，然后把“MAC地址、IP地址、端口号、VLAN”记录成一张表。这张表默认有一个绝对老化时间（通常是86400秒，即一天）。有了这个表之后，交换机就能知道“这个端口下到底有哪几台设备在正常使用网络”。
• 速率限制（Rate Limit）：对非信任端口上单位时间内通过的DHCP报文数量做上限限制。正常终端获取IP的过程，最多也就几个报文；如果某个端口每秒出现几十上百个Discovery请求，那基本可以断定是饿死攻击工具在跑，交换机可以直接丢掉超限的报文。

绑定表在后续配合其他安全特性时价值更大：它正是动态ARP检测（DAI）和IP源防护（IP Source Guard）的数据来源。交换机查到某个端口下的设备想伪造IP或者伪造ARP应答时，拿绑定表一对，不对就丢。这是后话，后面我会展开。

3.3 Snooping不是万能的：你必须知道的防御盲区

学习任何安全技术，最重要的不是看它能干什么，而是搞清楚它不能干什么。否则一旦出现漏网情况，你会误以为是配置没生效，实际上却是用错了工具。结合我的经验，DHCP Snooping至少有四个明显的盲区：

1. 信任端口本身不设防：如果有人把伪造的DHCP服务器接到了上联口、或者接到了一台被配置为trust状态的交换机端口，Snooping完全无能为力。很多内网攻击发生在弱电间——攻击者拔掉一台不用的交换机，接上自己的路由器，而这个端口可能因为历史原因被配置成了信任端口，那就彻底破功了。
2. 静态IP用户绕过绑定表：Snooping只监控通过DHCP获取地址的终端。如果有人在自己电脑上手动填了一个静态IP，它的流量根本不会经过DHCP交互，绑定表里自然查不到，Snooping对它完全无感。这种设备能上外网，但只要内外网直连路由没做好隔离，带来的风险也不小。
3. 解决不了ARP欺骗：Snooping只处理DHCP报文，不处理ARP报文。攻击者即便通过DHCP拿到了一个正常IP，依然可以伪造ARP应答去欺骗网内其他终端“网关的MAC地址是它”。要防这个，必须额外开启DAI，而不是指望Snooping。
4. 不明来源的双层DHCP报文：比如用户私接了一个小交换机（傻瓜交换机）再接多台电脑时，Snooping默认依靠报文入端口来记录绑定，在部分设备上效果会打折扣，需要配合信任策略调整。

这些盲区不是Snooping的缺陷，而是它的设计定位所决定的。把它放在正确的场景里、配合其他技术一起用，才能形成完整的防线。

4. 配置实战：华为与思科交换机的完整落地步骤

理论讲完了，说点实在的。下面以最常见的华为和思科交换机为例，给出DHCP Snooping的完整配置思路。不同厂商的命令关键字有差异，但配置的层次结构几乎一样，理解了通用逻辑，换什么设备都不慌。

4.1 华为交换机配置：每一步命令背后的意图

华为设备在较新的版本里（V200R005及以后），DHCP Snooping配置一般分四步。我以一台S5700系列、业务VLAN为10的接入交换机为例：

code复制# 第一步：全局开启DHCP Snooping功能
[Switch] dhcp enable
[Switch] dhcp snooping enable

# 第二步：在业务VLAN内使能DHCP Snooping
[Switch] dhcp snooping enable vlan 10

# 第三步：设置上联接口为信任端口（连接核心层/汇聚层DHCP服务器的方向）
[Switch] interface GigabitEthernet0/0/24
[Switch-GigabitEthernet0/0/24] dhcp snooping trusted

# 第四步：接入接口默认是非信任端口，但需要检查用户侧的绑定表生成与限速
[Switch] interface GigabitEthernet0/0/1
[Switch-GigabitEthernet0/0/1] dhcp snooping max-user-number 10
[Switch-GigabitEthernet0/0/1] dhcp snooping rate-limit 30

这里有三个新手容易犯迷糊的点，我单独拎出来说：

第一，为什么全局开启了还要在VLAN里再开一次？因为华为为了控制安全功能的粒度，允许管理员只在部分VLAN上做DHCP Snooping。你可以在VLAN 10开启、在VLAN 20关闭。这样做的好处是，像视频监控这类地址数量巨大、流量模型特殊的业务，可以不受到绑定表或限速的负面影响。配置文件上来的第一步，先确认哪些VLAN需要被保护，别一股脑全开。

第二，dhcp snooping trusted必须要配在上联口。默认情况下，所有端口都是非信任的，如果你忘了配置上联口为trusted，就会出现“合法DHCP服务器的Offer也被交换机丢弃”的情况，所有用户都获取不到地址。这个错误相当隐蔽，因为没有报错信息，只有业务中断的现象。

第三，dhcp snooping max-user-number和rate-limit是接入侧的“护栏”。max-user-number限制了端口能生成的绑定表最大条数，防止一个接口下挂太多设备；rate-limit限制的是该端口上DHCP报文每秒的包数。数值别拍脑袋定，要根据实际接入终端数量估算。一般办公场景每端口不超过10个绑定、30pps限速是比较稳妥的起点。

如果DHCP服务器不在本交换机直连的方向，而是在更上层的核心交换机后面，Snooping配置方式还是一样的——只需要把去往服务器的方向都配置为trust就行。交换机与交换机之间的级联口通常情况下也要配置为trust，否则合法DHCP报文在跨交换机时可能被中间交换机误丢。

华为还支持在接口下开启检测报文源MAC与DHCP报文CHADDR字段是否一致的选项，即dhcp snooping check dhcp-chaddr enable，这个功能可以防止攻击者伪造源MAC来绕过绑定表检查，建议在信任边界网关的接入侧一并开启。

4.2 思科交换机配置：命令不同，逻辑相通

思科IOS设备的配置在逻辑上和华为完全一致，只是关键字不同。以Catalyst 2960/3560系列为例：

code复制! 全局开启DHCP Snooping
Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10

! 定义上联口为信任端口（连接DHCP服务器的方向）
Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# ip dhcp snooping trust

! 接入侧非信任端口限速
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# ip dhcp snooping limit rate 30

思科有一点和华为不同：默认情况下，所有交换机端口对于DHCP Snooping都是信任端口。你没看错，这跟华为默认全非信任是正好相反的。所以思科设备上你反而要主动把接入用户的口显式配置为ip dhcp snooping trust的关闭状态。怎么确认端口是非信任？命令默认端口都是trust，你需要对每一个接入终端口做：

code复制Switch(config)# interface range GigabitEthernet0/1 - 22
Switch(config-if-range)# no ip dhcp snooping trust

这样1到22口才恢复成非信任状态。这个厂商差异如果不了解，把华为的逻辑直接带到思科设备上，安全防线形同虚设。我见过太多人在思科上只开了全局Snooping，没把接入端口改成非信任，结果仿冒DHCP服务器一接一个准，防火墙完全没反应，因为信任端口压根不检查。

思科还有一个查看绑定表的命令，排查时非常有用：

code复制Switch# show ip dhcp snooping binding
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
00:1C:58:2A:7E:01   192.168.10.100   84600       dhcp-snooping   10    GigabitEthernet0/1

4.3 配置完成后要做的三件检查事

配置只是开始，真正的功夫在验证。我每次配置完Snooping，都会做三件事：

第一，用一台终端正常获取IP，然后立刻在交换机上查看绑定表是否生成了对应条目。如果终端能拿到IP但绑定表里没有，说明Snooping没真正生效，多半是VLAN使能漏了。

第二，模拟仿冒攻击做一次演练。找一台能开DHCP服务的笔记本，接到一个非信任的接入端口上，然后另一台设备尝试获取IP。正常情况下，这台设备拿到的应该是合法服务器的地址，而且攻击者的笔记本上会收到一堆超时提示——Offer根本发不出去。如果发现终端拿到了仿冒地址，那就是信任端口配置范围过大，或者端口类型不对。

第三，查看日志和统计计数。华为可以用display dhcp snooping statistics，思科用show ip dhcp snooping statistics，观察非信任端口上丢弃报文的数量。如果数字快速上涨，说明你的网络里正在发生攻击，或者有设备存在异常的DHCP行为。日志里也会记录丢弃事件，需要长期归档，方便事后追溯。

5. 上线后的坑：那些让你怀疑人生的排障经历

Snooping不是配置完就能撒手不管的。我实际部署过程中踩过不少坑，这里挑最典型的几个分享，每个都是真金白银换来的教训。

5.1 坑一：明明配置正确，用户却大面积断网

我记得有一次给一个客户做网络改造，Snooping配置完全按规范走，上联口trust、接入口untrust、VLAN使能，全部无误。结果配置完刚过几分钟，办公室电话就响了：“上不了网了。”

排查过程相当煎熬。查了接口状态、查了VLAN、查了DHCP服务器负载，全都没问题。最后坐在地上看了半小时配置，突然灵光一闪——客户核心交换机到接入交换机之间还有一台汇聚交换机，我只在接入交换机的上联口配了trust，但汇聚交换机转发DHCP报文完全正常，不涉及Snooping。问题出在接入交换机的上联口连接的是汇聚，汇聚往下还有几个办公室的接入交换机，这些接入交换机之间的互联口我没有全部配置trust。

因为Snooping是在接入交换机上做的，它看到DHCP Offer从自己的上联口进来，trust是放行的，按理说不应该有问题。但仔细再看，问题发生在DHCP Request阶段：多个接入交换机都开了Snooping，它们之间的互相连接口是非信任状态，某一个接入交换机下的用户发出的Request广播，被另一个接入交换机当成“来路不明的DHCP报文”丢掉了。

解决办法也很简单：凡是交换机之间互连、且不属于最终接入用户的口，都检查是否配置了trust。这不只是“上联口”一个口的问题，而是一个拓扑关系——所有不直接接终端的端口，应当默认配置为trust。

5.2 坑二：绑定表没有自动清理，终端换了网口上不了网

办公场景中有个非常普遍的行为：员工今天在工位A插网线，明天搬到工位B，后天又临时去会议室。每换一个端口，终端都要重新获取IP。绝大多数情况下，DHCP Snooping的绑定表会根据新的DHCP交互重新学习并覆盖旧的表项。

但有一种情况例外：如果终端还持有旧的IP租约，而交换机重启过，或者DHCP服务器侧已经认为租约到期，终端的租约续租请求可能不经过完整的Discover/Offer交互，导致绑定表来不及更新。结果就是：终端明明有IP，也能ping通网关，但所有数据包都被丢弃，现象比完全没网更让人抓狂。

解决办法有两个层面。一是缩短绑定表的老化时间，华为可以用dhcp snooping binding-timer aging来设置更短的绝对老化时间；二是在接入端口上开启“接口UP时重新学习”的机制。换句话说，终端拔线再插线时，接口会经历Down/Up，如果接口在恢复时能立刻触发对已有绑定表项的检查或清理，问题就基本消除了。

如果你是用思科，可以通过ip dhcp snooping information option和ip dhcp snooping database来配合管理绑定信息的写入/恢复，避免重启丢失引发的一致性风险。

5.3 坑三：限速数值拍脑袋，反而误伤了正常业务

Snooping的rate-limit我一开始给一家客户配的是每秒5个报文。理由是“一台电脑获取IP最多就是4个包，5个足够”。配置完当时也正常。结果周一上午全员上班，大量终端几乎同时开机，每个端口瞬间涌入的DHCP报文超过了限速阈值，交换机开始丢弃多余报文，于是出现了同一排工位里有人能获取IP、有人不能，过一会儿又换一批人异常的“轮流断网”现象。

事后复盘，问题出在我没有理解限速的判定粒度。很多设备的限速是针对整个接口的，不是针对单台终端的。如果端口下挂了一台傻瓜交换机，再往下面接了十几台电脑，它们同时开机时，这个端口的DHCP报文会快速超过阈值。解决办法是适当调大阈值，比如30到50pps起步，再结合实际情况观察调整。如果单端口下接的终端数量可能达到几十台，先用max-user-number控制绑定表条数，再配合一个相对宽裕的限速值，让合法流量能过、但攻击性的洪泛还是会被拦住。

5.4 坑四：静态IP用户完全不受管控

这是最容易被忽视的“安全后门”。Snooping只监控动态获取IP的交互，有人手动把IP设置成和合法地址池段内的一个地址，照样能上网，而且不产生任何DHCP报文，交换机完全不知道它的存在。这意味着，如果管理员只做了Snooping，而没有对其他层面做限制，一个有心人完全可以绕过Snooping的检查。

要彻底堵住这个口子，需要配合IP Source Guard（IP源防护）来使用：在接入端口启用后，交换机只允许转发那些源IP与绑定表匹配的报文，其他的一律丢弃。这样一来，静态IP用户也好，伪造IP用户也好，统统被挡在门外。Apple设备、打印机这类需要固定IP的外设怎么办？可以在Snooping绑定表里手动配置静态绑定条目，或者在交换机端口上配置相应的静态规则。

6. Snooping只是第一步：联动DAI与IP Source Guard构建完整防线

把DHCP Snooping单独部署出去，对初学者来说算是一个完整的安全项目了。但从网络整体加固的角度看，它只是第一块地基。真正让它发挥威力的，是后续和其他技术联动。

6.1 DAI：动态ARP检测，专治ARP欺骗

ARP欺骗是内网里另一个高频攻击手段。攻击者不需要窃取IP，只需要伪造ARP应答，告诉目标设备“网关的MAC地址是XX”，就能把流量引到自己这里来。DHCP Snooping解决不了这个问题，但它的绑定表能为DAI提供判断依据。

DAI开启后，交换机对非信任端口收到的ARP报文，会去查询绑定表：如果报文的源IP、源MAC和绑定表里的记录能对应上，放行；对不上，直接丢弃并记录日志。配置思科的命令大致是：

code复制Switch(config)# ip dhcp snooping vlan 10
Switch(config)# ip arp inspection vlan 10
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# ip arp inspection trust

注意，DAI同样有信任口的逻辑。接路由器和交换机的上联口一般要配置为ARP inspection trust，否则合法设备的ARP报文也可能被当成伪造报文误丢。凡是对接终端的接入端口保持默认不信任即可。

华为对应的功能叫动态ARP检测（DAI），命令在接口下是：

code复制[Switch] interface GigabitEthernet0/0/1
[Switch-GigabitEthernet0/0/1] arp anti-attack check user-bind enable

6.2 IP Source Guard：让非法IP无可遁形

IP Source Guard（简称IPSG）的原理更直接：非信任端口上，所有IP数据包必须和绑定表匹配才能转发。不管你是静态配置的IP、还是伪造的IP，只要不在表里，就被交换机丢弃。接口下配置示例如下：

code复制[Switch] interface GigabitEthernet0/0/1
[Switch-GigabitEthernet0/0/1] ip source check user-bind enable

开启IPSG之后，静态IP、伪造IP、私自改IP等手段几乎全部失效。但它也有代价——管理员的运维成本上来了。新增一台打印机、新装一台服务器，都得手工添加静态绑定条目，否则该设备就会莫名其妙“上不了网”。所以IPSG一般建议只在PC接入端口上开启，服务器、打印机等设备所在的端口不启用，或配置静态绑定后启用。

6.3 端口安全与日志监控：把“事后追溯”做扎实

除了前面两项联动，端口安全（Port Security）也值得顺手开起来。端口安全能限制一个物理端口上学习到的MAC地址数量，MAC地址超过阈值时，可以触发接口关闭或限制转发。这对于防止用户私接小交换机、绕开接入认证非常有效。

日志和监控是很多人最后才想起来的事，但恰恰是安全体系里最不能缺的一环。Snooping丢弃攻击报文时，交换机会在日志里记录被丢弃报文的源MAC、源IP、端口和时间。把这些日志送到统一的日志服务器并做告警，当某个端口频繁触发丢弃时，说明该端口下存在攻击行为或异常终端，管理员可以立刻定位到物理位置，从“被动救火”变成“主动处置”。我一般会在部署Snooping的同时，顺手把以下检查项过一遍：

• 是否对所有接入端口定义非信任状态，而不是只针对个别端口？
• 是否确认所有交换机互连端口和上行端口配置为trust？
• DHCP服务器是否开启了地址池告警，IP地址使用率超过80%时能及时通知管理员？
• 绑定表是否定期备份，特别是设备重启后能否快速恢复？
• 接入认证（如802.1X）和端口安全是否同时启用，防止未授权设备直接接入？

7. 最后分享两次实战中的“关键时刻”

说回文章开头提到的那个客户案例。那次网络改造，我把Snooping、DAI、IPSG三层全部部署完，差不多两周后，客户的IT负责人给我打来电话，语气里带着明显的震惊：“日志里真有发现。”

监控后台显示，某楼层的一个接入端口在凌晨时段频繁出现DHCP Offer被丢弃的记录。顺着端口找到物理位置，发现是一个工位下方多了一个巴掌大的便携路由器。员工说那是自己带过来给手机Wi-Fi用的，插在网口就能给手机供网。这个设备虽然未必是恶意攻击，但只要它存在，它就是一台未经批准的DNCP服务器——它分配出的网关和DNS如果能被攻击者提前篡改，整个工位区域都会沦为受害者。Snooping的日志让这个问题在发生风险之前就暴露出来了。

另一次是在一家连锁门店做网络运维改造。门店的收银系统使用固定IP，设备厂商要求网内不能开启IP Source Guard，担心影响支付终端的稳定性。但DHCP Snooping是可以开的。我当时的方案是：收银终端所在的端口配置静态绑定表条目，其余办公区端口保持Snooping动态绑定。半年后客户反馈，某天有人拿着自己的笔记本到门店仓库私自接入网口，刚好撞上Snooping的绑定检测，笔记本没有获得任何IP，攻击行为在萌芽阶段就被掐掉了。

这些年做网络安全的经验让我越来越确信一个道理：安全防护不是堆砌一堆先进设备，而是要把每一层协议的基础防御做扎实。DHCP Snooping就是典型的“基础但关键”的功能——它不花哨，不需要额外硬件，在几乎所有企业级交换机上都原生支持，却能在仿冒者攻击的第一时间就把恶意报文拦截在网络边缘。如果你所在的环境还没有启用它，我的建议很直接：找一台接入交换机，先在实际VLAN里做一次小范围试点，确认业务无影响后再逐步推广。这件事，越早做越安心。