DHCP安全设置怎么做
发布于2026-06-30 阅读（0）
扫一扫，手机访问
一、DHCP安全设置核心目标
说到DHCP，大多数人觉得它就是个自动分配IP的小工具，但一旦被攻击者盯上，整个网络都可能瘫痪。常见的威胁包括：仿冒DHCP服务器搞鬼，偷偷分配错误IP；恶意用户发起报文泛洪，直接耗尽设备性能；还有IP地址欺骗和中间人攻击，拦截篡改通信数据。所以，DHCP安全的核心目标很简单：确保服务的可用性，同时保证每一条分配记录的合法性。
二、基础安全配置：DHCP Snooping（关键防护机制）
要说DHCP防护，最核心的武器就是DHCP Snooping。它的原理并不复杂——通过建立一张动态绑定表，记录每台设备的MAC地址、IP地址、所接接口和VLAN信息，从而区分合法和非法报文，把仿冒服务器的响应直接挡在门外。
1. 启用DHCP Snooping功能
操作上，需要在二层接入设备（比如交换机）上全局开启DHCP Snooping，然后在对应VLAN或接口上激活。下面是一个典型的配置示例：
system-view
dhcp enable
# 全局开启DHCP服务
dhcp snooping enable
# 全局开启DHCP Snooping
interface GigabitEthernet 0/0/1
# 用户侧接口（连接PC/终端）
dhcp snooping enable
interface GigabitEthernet 0/0/2
# 可选：其他用户侧接口
dhcp snooping enable2. 配置信任接口（识别合法DHCP服务器）
接下来，得告诉交换机哪个接口是“自己人”。把直连合法DHCP服务器的接口标记为“信任接口”，只有这个接口发出的DHCP响应才会被放行；其他所有接口默认为“非信任接口”，一旦收到DHCP响应报文，直接丢弃。配置就一行：
interface GigabitEthernet 0/0/3
# 合法DHCP服务器连接的接口
dhcp snooping trusted3. 验证DHCP Snooping配置
配完之后，记得用两条命令检查一下：一条看绑定表，一条看全局配置：
display dhcp snooping binding
# 查看DHCP绑定表（包含MAC、IP、接口等信息）
display dhcp snooping configuration
# 查看DHCP Snooping全局配置三、进阶防护：抵御DHCP泛洪攻击
怕就怕有人恶意捣乱，往网络里狂发DHCP Discover报文，直接耗尽设备处理能力，导致正经用户分不到IP。对付这种攻击，一个简单有效的办法就是做速率限制。
1. 端口级DHCP报文速率限制
在单个端口上限制上送控制面的DHCP报文速率，比如每秒最多30个，超出部分直接丢弃：
interface GigabitEthernet 0/0/1
dhcp snooping check dhcp-rate enable
# 开启端口级速率检测
dhcp snooping check dhcp-rate 30
# 设置速率阈值为30个/秒2. 用户级DHCP报文速率限制
更精细的做法是基于用户MAC地址或IP地址来监控，比如每个MAC每秒最多10个报文，超过阈值的话，这个用户的报文会被临时丢弃300秒：
cpu-defend policy antiatk
# 进入攻击溯源策略配置
auto-defend enable
# 开启自动防御功能
auto-defend threshold 10
# 设置用户级速率阈值为10个/秒
auto-defend action deny timeout 300
# 超过阈值时丢弃报文300秒
auto-defend whitelist 1 interface GigabitEthernet 0/0/3
# 将合法DHCP服务器接口加入白名单（避免误过滤）
quit四、Linux DHCP服务器安全优化
如果用的是Linux做DHCP服务器（比如ISC DHCP），那安全加固的功夫就得花在配置文件和日志上了。
1. 精细化配置文件设置
编辑/etc/dhcp/dhcpd.conf，明确划分子网、缩小子网地址池范围、缩短租约时间，这些都能降低IP被长期占用的风险：
subnet 192.168.1.0 netmask 255.255.255.0 {
range 192.168.1.100 192.168.1.200;
# 缩小地址池范围（避免IP浪费）
option routers 192.168.1.1;
option subnet-mask 255.255.255.0;
option domain-name-servers 8.8.8.8;
default-lease-time 3600;
# 默认租约时间1小时（可根据需求调整）
max-lease-time 7200;
# 最大租约时间2小时
}2. 分配固定IP给可信设备
对服务器、打印机这类关键设备，直接绑定MAC地址和固定IP，一劳永逸地解决IP冲突问题：
host server01 {
hardware ethernet 00:11:22:33:44:55;
# 设备MAC地址
fixed-address 192.168.1.50;
# 分配的固定IP
}3. 启用日志记录与审计
备份日志是事后分析的好帮手。把DHCP日志定向到独立设备，比如local7，方便后续排查异常：
# 在dhcpd.conf中添加日志配置
option log-facility local7;然后编辑/etc/rsyslog.conf或/etc/rsyslog.d/50-default.conf，把日志写到指定文件：
local7.* /var/log/dhcpd.log最后重启rsyslog服务：
systemctl restart rsyslog4. 重启DHCP服务应用更改
systemctl restart isc-dhcp-server
# 重启DHCP服务
systemctl enable isc-dhcp-server
# 设置开机自启五、其他补充安全措施
1. 启用IP Source Guard（IPSG）
IPSG可以和DHCP Snooping绑定表配合，过滤掉伪造源IP、源MAC的流量，比如ARP欺骗。在交换机上配置起来也很简单：
interface GigabitEthernet 0/0/1
ip verify source port-security
# 开启IPSG功能（需提前开启DHCP Snooping）2. 定期更新系统与软件
这不是一句空话。操作系统、DHCP服务器软件（比如Linux内核、ISC DHCP）的漏洞，往往是攻击者最喜欢利用的入口。定期的补丁更新，是最低成本的防御。
3. 实施网络访问控制（802.1X）
如果条件允许，部署802.1X认证，限制设备接入网络。只有授权设备才能发起DHCP请求，这等于从源头上切断了非法设备捣乱的可能性。