DHCP工作原理概述
在探讨DHCP Snooping之前，我们需要先了解DHCP（动态主机配置协议）的工作原理。下面通过两个场景来详细解析DHCP的工作原理。
DHCP无中继场景
发现阶段
DHCP客户端通过广播DHCP Discover报文，在内寻找DHCP服务器，请求提供IP地址配置服务。
提供阶段
DHCP服务器根据自身的IP地址池、子网掩码和网关等信息，通过DHCP Offer报文应答客户端的请求。
请求阶段
如果DHCP客户端接受DHCP Offer报文中的配置信息，它会广播DHCP Request报文，告知DHCP服务器和内的其他主机其获得的IP地址。
确认阶段
DHCP客户端收到DHCP ACK报文后，会通过发送免费ARP报文，探测网络段内是否有其他设备使用服务器分配的IP地址。
DHCP有中继场景
发现阶段
在DHCP有中继场景中，DHCP中继接收到DHCP客户端发送的DHCP DISCOVER报文后，会进行一系列处理：
1. 检查DHCP报文中的hops字段，如果大于16，则丢弃DHCP报文；否则，将hops字段加1并继续下一步操作。
3. 将DHCP报文的目的IP地址改为DHCP服务器或下一跳中继的IP地址，源地址改为中继连接客户端的接口地址，然后通过路由转发将DHCP报文单播发送到DHCP服务器或下一跳中继。
提供阶段
DHCP服务器接收到DHCP DISCOVER报文后，根据报文中giaddr字段选择相应的地址池，为客户端分配IP地址等参数，然后向giaddr字段标识的DHCP中继单播发送DHCP OFFER报文。DHCP中继在接收到DHCP OFFER报文后，会进行相应的处理。
DHCP Snooping概述
为了保证网络通信业务的安全性，引入了DHCP Snooping技术。DHCP Snooping是DHCP的一种安全特性，用于确保DHCP客户端从合法的DHCP服务器获取IP地址。DHCP服务器会记录DHCP客户端的IP地址与MAC地址等参数的对应关系，以防止网络上针对DHCP的攻击。
目前DHCP协议在应用过程中遇到很多安全挑战，网络中存在许多针对DHCP的攻击方式，如DHCP Server仿冒者攻击、拒绝服务攻击、仿冒DHCP报文攻击等。DHCP Snooping主要通过DHCP Snooping信任功能和绑定表来实现DHCP网络安全。
DHCP Snooping信任功能
DHCP Snooping的信任功能可以保证客户端从合法的服务器获取IP（互联网协议）地址。如果网络中存在私自架设的DHCP Server仿冒者，它可能会导致DHCP客户端获取错误的IP地址和网络配置参数，无法正常通信。DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源，防止网络中可能存在的DHCP Server仿冒者为DHCP客户端分配IP地址及其他配置信息。
在配置中，可以将接口分为信任接口和非信任接口。信任接口正常接收DHCP服务器的DHCP ACK、NAK和Offer报文。非信任接口收到的DHCP Server发送的报文会被直接丢弃。
DHCP Snooping绑定表
二层接入设备启用了DHCP Snooping功能后，会从收到的DHCP ACK报文中提取关键信息（包括PC的MAC地址以及获取到的IP地址、地址租期），并获取与PC连接的接口信息（包括接口编号及该接口所属的VLAN）。这些信息会被用来生成DHCP Snooping绑定表。
由于DHCP Snooping绑定表记录了DHCP客户端IP地址与MAC地址等参数的对应关系，因此通过检查报文与绑定表的匹配情况，可以有效防范非法用户的攻击。绑定表会根据DHCP租期进行老化，或者当用户释放IP地址时，自动删除对应表项。
DHCP Snooping的作用
DHCP Snooping功能主要用于防止以下几种攻击：
DHCP Server仿冒者攻击
中间人攻击与IP/MACSpooping攻击改变CHADDR值的DoS攻击等根据不同攻击类型选择使用相应的管理模式来保护网络通信的安全稳定通过设置特定接口为信任或不信托状态等方式实现对恶意攻击的隔离防御以提升网络安全水平最后进行网络验证和调试以确保所有设置正确生效总结理解了该技术在不同场景下的应用及其配置方法对于保障网络安全具有重要意义
