DHCP snooping
1.实验拓扑及描述
1.网络拓扑如上图所示；
2.SW交换机只使用二层功能。
2.实验需求
- Router为DHCP服务器，开启DHCP服务，为PC分配地址。使用的地址池网段为192.168.1.0/24， 并且地址池中需排除掉地址192.168.1.254、192.168.1.253，因为这些地址另有用处（例如被 网络中的服务器占用），不能分配给PC。同时为客户端分配的网关地址是192.168.1.254，所 分配的地址租期为2天。客户端自动获取的DNS服务器地址为8.8.8.8。
- 在交换机上部署DHCP snooping特性，防止PC从Router之外的DHCP服务器获取非法的地址。
- 要求PC机能够通过DHCP自动获取地址及网关。
3.实现步骤及配置
Router的配置如下
[Router] interface GigabitEthernet 0/0/0
[Router-GigabitEthernet0/0/0] ip address 192.168.1.254 24
[Router] dhcp enable
[Router] ip pool dhcppool
#全局使能DHCP服务
#创建地址池
[Router-ip-pool-dhcppool] network 192.168.1.0 mask 24
[Router-ip-pool-dhcppool] gateway-list 192.168.1.254
[Router-ip-pool-dhcppool] lease day 2
[Router-ip-pool-dhcppool] dns-list 8.8.8.8
[Router-ip-pool-dhcppool] quit
[Router] interface GigabitEthernet 0/0/0
[Router-GigabitEthernet0/0/0] dhcp select global
#使能接口的DHCP服务功能，指定
S5300从全局地址池分配地址 交换机的配置如下：
一旦在特定的VLAN上使能DHCP Snooping，则该VLAN内的所有接口缺省都是“非信任”接口， 这些接口会将收到的DHCP回应消息直接丢弃。我们通过手工将连接着可信的DHCP服务器的接口 设置为“信任”接口，从而防止PC从非法的DHCP服务器获取地址。只有从“信任”接口收到的 DHCP回应消息才会被转发给DHCP客户端。
上面的配置中vlan视图下的dhcp snooping trusted interface GigabitEthernet 0/0/24命令也可以用 另一种方式指定，就是进入接口GE0/0/24的配置视图，然后使用dhcp snooping trusted命令指定 该接口为信任接口：
[SW] interface GigabitEthernet 0/0/24
[SW-GigabitEthernet0/0/24] dhcp snooping trusted PC已经获取到地址了。进一步的测试，可以将GE0/0/24接口恢复为非信任接口：
[SW] vlan 10
[SW-vlan10] undo dhcp snooping trusted interface GigabitEthernet 0/0/24 然后再看看PC是否能获取到地址。