在网络规划设计师的备考过程中，IP地址规划中的动态主机配置协议（DHCP）安全加固是一个重要的知识点，尤其是在第3 - 4个月的强化阶段。
一、DHCP相关安全技术概述
- DHCP Snooping（信任端口配置）
- 知识点内容：DHCP Snooping是一种检测和阻止DHCP欺骗攻击的技术。它通过创建一个信任和非信任端口的列表来工作。在交换机上，将连接到合法DHCP服务器的端口设置为信任端口，其他端口则为非信任端口。这样，来自非信任端口的DHCP响应消息将被视为非法并丢弃。
- 学习方法：要深入理解这一技术，首先要了解DHCP的工作原理，包括DHCP请求和响应的过程。可以通过画图的方式来直观地表示出在有DHCP Snooping时，数据包在不同端口间的流动情况。同时，在实际操作中，在模拟器或者真实设备上进行配置练习，观察不同端口设置下的网络行为。
- IP Source Guard（IP - MAC绑定）
- 知识点内容：IP Source Guard基于端口和MAC地址来限制设备的IP地址使用。它可以将特定的MAC地址与特定的IP地址绑定到某个端口上。这样，如果一个设备试图使用与该端口绑定的MAC地址不相符的IP地址或者一个未授权的MAC地址使用某个IP地址时，该流量将被阻止。
- 学习方法：记忆IP Source Guard的基本配置命令格式，并且理解每个参数的含义。可以通过案例分析的方式来掌握其应用场景，比如在一个办公室网络中，防止用户私自更改IP地址或者非法设备接入网络。
- DHCP Option 82（获取用户位置信息）
- 知识点内容：DHCP Option 82允许DHCP服务器获取关于客户端连接位置的信息，如交换机端口等。这有助于网络管理员更好地管理网络资源分配，并且在安全方面，可以用于识别非法的DHCP请求来源。
- 学习方法：研究DHCP协议消息格式，找出Option 82在其中的位置和作用方式。可以在实验环境中，通过抓包工具（如Wireshark）来查看带有Option 82的DHCP请求和响应消息，从而加深理解。
二、在教育网中防止DHCP服务器仿冒攻击的配置步骤
- 首先，在教育网的交换机上进行DHCP Snooping的基本配置。
- 步骤包括定义信任端口，例如如果连接到学校内部的合法DHCP服务器的端口是GigabitEthernet0/1，那么在交换机上执行命令：
- [Switch] dhcp snooping enable //全局启用DHCP Snooping
- [Switch] interface GigabitEthernet0/1
- [Switch - GigabitEthernet0/1] dhcp snooping trust //将该端口设置为信任端口
- 接着进行IP Source Guard配置。
- 对于每个接入端口，假设接入端口为GigabitEthernet0/2，要绑定特定的MAC地址和IP地址（这里假设MAC地址为00 - 11 - 22 - 33 - 44 - 55，IP地址为192.168.1.10）：
- [Switch] interface GigabitEthernet0/2
- [Switch - GigabitEthernet0/2] ip source binding 00 - 11 - 22 - 33 - 44 - 55 vlan 10 192.168.1.10 interface GigabitEthernet0/2
- [Switch - GigabitEthernet0/2] ip source check user - bind enable //启用IP Source Guard检查
- 最后配置DHCP Option 82。
- 在交换机上全局启用DHCP Option 82功能：
- [Switch] dhcp snooping option82 insert enable //插入Option 82信息到DHCP请求消息中
- [Switch] dhcp snooping option82 relay ignore //忽略来自非信任端口的Option 82修改
三、华为交换机DHCP安全加固命令集总结
- 启用DHCP Snooping：
- dhcp snooping enable
- interface [端口号]
- dhcp snooping trust（设置信任端口）
- IP Source Guard相关：
- ip source binding [MAC地址] vlan [VLAN号] [IP地址] interface [端口号]
- ip source check user - bind enable
- DHCP Option 82相关：
- dhcp snooping option82 insert enable
- dhcp snooping option82 relay ignore
总之，在备考网络规划设计师考试时，要全面掌握DHCP安全加固的相关知识，不仅要理解每个技术的原理，还要熟练掌握在特定网络环境（如教育网）中的配置步骤，并且牢记相关的命令集。通过理论学习、实际操作和案例分析相结合的方式，能够更好地应对这一考点。
喵呜刷题：让学习像火箭一样快速，快来微信扫码，体验免费刷题服务，开启你的学习加速器！
