DHCP Snooping的结构和配置

　　在以往对于DHCP的学习中，我们发现DHCP Snooping的应用非常普遍，尽管我们曾经对于DHCP Snooping的内容进行过介绍，这里我们再来详细地总结一下。其中工也为大家举出了图示，希望能够让大家对这部分知识有一个直观的认识。

　　DHCP Server Spoofing

　　攻击者在交换机上架设了一个非法的DHCP服务器，将地址发送给客户端(网络中客户端从哪个DHCP上拿地址全凭人品，完全是谁快从谁哪里拿)攻击者可以将客户端的网关指向自己，于是可以得到客户端所有的数据包，之后再做一个中继，将数据包转发至真正的网关，但客户端感觉不到异样。

　　防范方法

　　配置DHCP Snooping

　　配置IP DHCP Snooping 步骤

　　1 在全局开启DHCP Snooping(必须)

　　ip dhcp snooping

　　2 在vlan上启用

　　ip dhcp snooping vlan 11-200

　　3 接口上启用 DHCP Trust(很重要的命令，默认全局启用了dhcp snooping之后，所有的接口都是untrust，只允许接PC，必须在和dhcp服务器，接入层交换机相连的接口下配置trust。untrust接口只能够发送DHCP请求，其余的DHCP相关包都会丢弃)

　　ip dhcp snooping trust

　　4 可以在接pc的接口上配置dhcp包的速率

　　ip dhcp snooping limitrate 100