在网络规划设计师的备考中，交换技术里的端口安全和DHCP Snooping协同是一个重要的知识点。
一、DHCP Snooping原理
1. 基本功能
- DHCP Snooping主要是用来防止仿冒DHCP服务器的攻击。它在二层网络中运行，通过监听和记录DHCP消息来建立和维护一个DHCP绑定表。这个绑定表包含了MAC地址、IP地址、租约时间等信息。
- 它通过识别合法与非法的DHCP消息来实现安全防护。例如，在一个企业网络中，如果有不法分子私自设置了一个伪装的DHCP服务器，向网络中的客户端发送错误的IP地址分配信息，DHCP Snooping就能够检测到这种异常情况。
2. 信任端口的设置
- 信任端口是连接到合法DHCP服务器的端口。在这个端口上收到的DHCP消息被认为是合法的。比如在企业网络中，连接到核心网络中的DHCP服务器的交换机端口就应该设置为信任端口。学习这个知识点时，可以通过实际的网络拓扑图来理解，在图上标记出哪些端口应该设置为信任端口，这样有助于加深记忆。
二、端口安全原理
1. IP - MAC绑定
- 端口安全通过绑定DHCP分配的IP - MAC地址对来防止IP欺骗攻击。它限制了一个端口上可以连接的MAC地址数量，并且可以将特定的MAC地址与IP地址进行绑定。例如，在一个办公室的网络环境中，每个员工的电脑都有固定的MAC地址和分配到的IP地址，端口安全就可以确保只有特定MAC地址的设备能够使用对应的IP地址进行通信。
2. 防范措施
- 当检测到有非法的MAC地址试图接入或者有IP地址欺骗行为时，端口安全可以采取多种措施，如关闭端口、发送告警等。
三、两者协同配置
1. 启用“ip source check”命令的重要性
- 在进行端口安全和DHCP Snooping协同配置时，启用“ip source check”命令是非常关键的。这个命令的作用是检查源IP地址的有效性。它利用DHCP Snooping建立的绑定表来验证进入端口的IP数据包的源IP地址是否合法。如果不合法，就会按照端口安全的策略进行处理。
2. 企业网中的应用案例
- 在企业网络中，为了防止DHCP饿死攻击，可以采用组合策略。例如，在接入层交换机上配置DHCP Snooping，并将连接DHCP服务器的上行端口设置为信任端口。同时，在接入层交换机的各个端口上配置端口安全，限制每个端口连接的MAC地址数量，并且绑定合法的IP - MAC地址对。当发现有大量的非法DHCP请求时，由于DHCP Snooping的防护，这些请求不会被响应，从而避免了合法客户端无法获取IP地址的情况。而且端口安全的存在进一步确保了即使有非法设备试图通过其他手段获取IP地址并进行通信，也会被阻止。
总之，在备考网络规划设计师考试时，要深入理解端口安全和DHCP Snooping的原理，掌握它们协同配置的关键要点，并且能够结合企业网络中的实际案例进行分析和应用。
喵呜刷题：让学习像火箭一样快速，快来微信扫码，体验免费刷题服务，开启你的学习加速器！
