1 什么是DHCP Snooping
DHCP Snooping也叫DHCP窺探，是一種常應用在二層接入設備的DHCP安全協議，它通過監聽DHCP報文來攔截局域網中不合法的DHCP流量，從而防止DHCP攻擊，提升網絡安全。部署了DHCP Snooping的設備能夠實現以下動作：
● 過濾不受信端口的DHCP應答報文；
● 構建和維護DHCP Snooping綁定表，其中包含用戶獲取到的IP信息以及用戶MAC地址、VID、PORT和租約時間等信息；
● 通過與ARP檢測功能或ARP Check功能配合使用，可以進一步實現控制用戶合法使用IP地址的目的。
2 DHCP Snooping如何工作
2.1 DHCP工作原理
在介紹DHCP Snooping如何工作之前，先簡要說明DHCP的工作機制。
DHCP是一個被廣泛應用的、為局域網內主機動態分配IP地址等重要信息的協議。一次DHCP協議交互可以簡單概括為如下4個步驟：
(1) DHCP客戶端通過廣播DHCP Discover報文來向局域網內的DHCP服務器請求服務。
(2) DHCP服務器根據自身配置的IP地址池、相應的子網掩碼和網關等信息，通過DHCP Offer報文應答客戶端。
(3) 若接受DHCP Offer報文中的配置，DHCP客戶端則廣播DHCP Request報文以通告DHCP服務器和局域網內其他主機其生效的IP地址。
(4) 最后，服務器將會應答DHCP ACK報文給客戶端進行最終確認。
如圖2-1中，通過DHCP協議交互，客戶端從DHCP地址池中租用了IP地址10.0.0.11/24，并得知局域網內網關地址為10.0.0.1。那么，客戶端后續的IP數據將發往網關10.0.0.1實現與廣域網的通信。
圖2-1 DHCP協議原理示意圖
2.2 DHCP Snooping防止服務欺騙攻擊
由于DHCP Discover/Request是廣播報文，假如局域網中加入了攻擊者，那么它便可以獲取到網絡內每一臺主機的DHCP請求信息。通過修改IP地址或者網關等信息偽造DHCP Offer/ACK報文應答主機，來達到使用戶無法上網或者竊取用戶信息的目的，這種攻擊方式被稱為DHCP服務欺騙攻擊。如圖2-2，攻擊者為了截獲局域網內用戶的流量，將自己本地的IP地址10.0.0.2作為虛假網關地址，非法應答客戶端的DHCP請求。后續，客戶端的IP數據包將會發往虛假網關，造成信息泄露。如果攻擊者在截獲流量的同時對真實網關和客戶端之間的數據進行轉發，那么網絡內受到攻擊的主機將感受不到斷網等網絡異常，隱蔽性極強。
圖2-2 DHCP欺騙攻擊示意圖
在設備上開啟DHCP Snooping功能，把連接可信服務器的端口設置為Trust口，其余皆為Untrust口，DHCP Snooping能夠有效的防止上文所述的DHCP服務欺騙攻擊。如圖2-3，在Device A上開啟DHCP Snooping功能，只有服務器的DHCP Offer/ACK報文能夠通過Trust口送達客戶端，攻擊者設備由于連接在Untrust口上，其發送的非法DHCP Offer/ACK報文將不允許通過，從而保證客戶端能夠獲得正確的網絡配置，避免了信息泄露。
圖2-3 DHCP Snooping防止DHCP欺騙攻擊示意圖
2.3 DHCP Snooping防止偽造報文攻擊
除了仿冒DHCP服務器，攻擊者還能仿冒DHCP客戶端對DHCP服務器發起攻擊。如圖2-4，攻擊者通過非法截獲DHCP客戶端在局域網內廣播的DHCP Discover報文獲取其MAC地址，從而仿冒MAC偽造不同的DHCP客戶端向DHCP服務器大量發送非法請求報文，使得DHCP服務器的IP地址池被消耗，甚至搶奪網絡內合法客戶端的IP地址。一旦服務器的IP地址池被非法請求耗空，網絡內的其他合法主機將由于無法通過DHCP獲得IP地址而斷網。這種攻擊方式被稱為偽造DHCP報文攻擊，也是一種典型的DoS攻擊。
圖2-4 偽造DHCP報文攻擊示意圖
除了過濾Untrust口的非法DHCP應答報文，DHCP Snooping通過進一步維護DHCP綁定表項來防止偽造報文攻擊。DHCP綁定表項通過窺探合法DHCP報文來對客戶端的MAC地址、IP地址租期、接口號和VLAN信息等建立起關聯并且維護，從而對后續DHCP客戶端請求報文進行過濾。如圖2-5，在Device A上部署DHCP Snooping功能并將與客戶端主機相連的接口設置為Untrust口。那么，所有通過Untrust口的DHCP請求報文將會首先進行DHCP綁定表項匹配。由于攻擊者偽造的報文與Device A上維護的綁定表無法匹配，偽造報文將會被丟棄，從而有效阻止了這類攻擊。
圖2-5 DHCP Snooping防止偽造DHCP報文攻擊示意圖
3 結語
DHCP Snooping作為DHCP安全特性，除了能通過對Untrust口非法DHCP流量的攔截以及綁定表的維護來防止DHCP服務欺騙攻擊和偽造DHCP報文攻擊外，還能通過與ARP協議聯動防止ARP入侵。由于DHCP協議應用廣泛，為提升網絡安全性能，在用戶接入層部署支持DHCP Snooping特性的設備是十分必要的。
更多技術博文
-
解密DeepSeek-V3推理網絡：MoE架構如何重構低時延、高吞吐需求？DeepSeek-V3發布推動分布式推理網絡架構升級，MoE模型引入大規模專家并行通信，推理流量特征顯著變化，Decode階段對網絡時度敏感。網絡需保障低時延與高吞吐，通過端網協同負載均衡與擁塞控制技術優化性能。高效運維實現故障快速定位與業務高可用，單軌雙平面與Shuffle多平面組網方案在低成本下滿足高性能推理需求，為大規模MoE模型部署提供核心網絡支撐。
-
#交換機
-
-
高密場景無線網絡新解法：銳捷Wi-Fi 7 AP 與 龍伯透鏡天線正式成團銳捷網絡在中國國際大學生創新大賽（2025）總決賽推出旗艦Wi-Fi 7無線AP RG-AP9520-RDX及龍伯透鏡天線組合，針對高密場景實現零卡頓、低時延和高并發網絡體驗。該方案通過多檔賦形天線和智能無線技術，有效解決干擾與覆蓋問題，適用于場館、辦公等高密度環境，提供穩定可靠的無線網絡解決方案。
-
#無線網
-
#Wi-Fi 7
-
#無線
-
#放裝式AP
-
-
打造“一云多用”的算力服務平臺：銳捷高職教一朵云2.0解決方案發布銳捷高職教一朵云2.0解決方案幫助學校構建統一云桌面算力平臺，支持教學、實訓、科研和AI等全場景應用，實現一云多用。通過資源池化和智能調度，提升資源利用效率，降低運維成本，覆蓋公共機房、專業實訓、教師辦公及AI教學等多場景需求，助力教育信息化從分散走向融合，推動規模化與個性化培養結合。
-
#云桌面
-
#高職教
-
-
醫院無線升級必看：“全院零漫游”六大謎題全解析銳捷網絡的全院零漫游方案是新一代醫療無線解決方案，專為智慧醫院設計，通過零漫游主機和天線入室技術實現全院覆蓋和移動零漫游體驗。方案支持業務擴展全適配，優化運維管理，確保內外網物理隔離安全，并便捷部署物聯網應用，幫助醫院提升網絡性能，支持舊設備利舊升級，降低成本。
-
#醫療
-
#醫院網絡
-
#無線
-
