Users Guide

ip domain-name dell.com
ip domain-list f10.com
ip name-server 1.1.1.1 2::2
ip host dell-f10.com 10.10.10.10
snmp-server community public read-only
snmp-server contact http://www.dell.com/support/
snmp-server location United States
debug radius false
DHCP 侦听
DHCP 侦听是一种第 2 层安全功能，可帮助网络设备监控 DHCP 消息并阻止不受信任的或流氓 DHCP 服务器。
在交换机上启用 DHCP 侦听后，交换机将开始监控可信 DHCP 服务器和 DHCP 客户端之间的所有事务，并使用该信息构建
DHCP 侦听绑定表。您可以配置连接到 DHCP 服务器的接口以作为可信接口。默认情况下，所有其他接口都不受信任。
DHCP 侦听绑定表包含以下信息：
● 客户端 IP 地址
● 客户端 MAC 地址
● 面向客户端的接口
● 客户端 VLAN
● 租赁时间
● DHCP 绑定类型 — 静态或动态
交换机将连接到交换机上的可信接口的 DHCP 服务器视为合法服务器。当交换机在不受信任的接口上收到 DHCP 服务器启动的
数据包（UDP 目标端口 67）时，它会丢弃数据包。
当交换机收到 DHCP 续订、释放或拒绝来自客户端的消息时，它将检查 DHCP 侦听绑定表是否匹配。如果 DHCP 消息中的信息
与表格匹配，交换机会将消息转发至 DHCP 服务器。如果信息不匹配，交换机会将客户端解释为未经授权的客户端，并丢弃数
据包。
当出现以下情况之一时，DHCP 侦听交换机将移除动态了解的 DHCP 侦听绑定条目：
● 租赁到期
● 从客户端收到 DHCP RELEASE 数据包
● 从客户端收到 DHCP DECLINE 数据包
● 用户操作，例如 DHCP 清除或禁用 DHCP 侦听
您可以使用 CLI 添加静态 DHCP 侦听绑定条目。如果为客户端添加静态条目，则同一客户端存在的任何动态条目都将被覆盖。
如果交换机收到 DHCP RELEASE 或 DHCP DECLINE 数据包，则交换机不会移除静态条目。
默认情况下，在 VLAN 上全局禁用并启用 DHCP 侦听。要使 DHCP 侦听功能正常工作，请在全局范围内启用该功能。
注
: 如果将 DHCP 客专端从不受信任的接口移至 VLAN 中的另一个不受信任的接口，专 DHCP 专听专定数据专不会更新。交
专机将专弃来自客专端的后专数据包。但是，如果您将 DHCP 客专端从不受信任的接口移到受信任的接口，专不会影响来自客专
端的流量。
对 DHCP 侦听的限制
● 管理 VLAN 不支持 DHCP 侦听。
● VxLAN 桥不支持 DHCP 侦听。
● 受支持的 DHCP 侦听绑定条目的最大数量为 4000。
● OS10 不支持多跳 DHCP 侦听。
● 要使 DHCP 侦听功能正常工作，请确保 DHCP 服务器支持选项 82 (RFC 3046)。
● 启用 DHCP 服务器上的选项 82 (RFC 3046)，以使 DHCP 侦听功能正常工作。
流氓 DHCP 服务器检测
在下面的拓扑中，受信任的 DHCP 服务器、DHCP 客户端和流氓 DHCP 服务器将连接到 DHCP 侦听交换机。DHCP 客户端和
DHCP 服务器位于同一 VLAN 上。物理接口 eth 1/1/2 是受信任的接口。当流氓 DHCP 服务器向客户端发送 DHCP 数据包时，
交换机会分析该数据包。由于流氓服务器连接到交换机至不受信任的 eth 1/1/3 接口，交换机将服务器视为流氓 DHCP 服务器，
并丢弃数据包。
系储管理
181