一、实验拓扑：

二、实验要求：默认情况下交换机启用了：DHCP Snooping，所有接口都会置位非信任接口untrust，对于非信任接口它只能接收：Discovery包和Request包，不能发送Offer包和ACK包。所以默认连接电脑的端口都变为untrunst端口，其它端口变为trust端口，包括服务提供IP地址的端口一定要变为trust端口。开启的话，第一个是总开关；第二个是某个VLAN的开关。实验一：1、PC1用路由器模拟，关闭路由功能，部署DHCP自动获取地址；2、R1是合法的DHCP服务器，网段为：100.1.1.X/24，部署DHCP协议；3、R2是非法的DHCP服务器，网段为：200.1.1.X/24，部署DHCP协议；4、交换机中间为Trunk中继链路，两端为：Access VLAN10，并部署端口加速；5、PC1接口下shutdown、no shutdown可以看到会随机获取到100、200网段的地址？6、SW1、SW2都开启DHCP Snooping检测，所有端口都变为了Untrust端口；7、SW1、SW2中继链路端口、SW1连接的合法DHCP端口变为信任端口；8、合法服务器R1端口上配置：ip dhcp relay information trusted，让其信任discovery添加的其他信息；因为：交换机一旦启用DHCP Snooping，PC发送的Discovery包，交换机会做一个小小的修改：把IP的选项值Options中82号增加了东西，所以R1上部署命令的目的：让其信任被更改过的报文。如果不部署，服务器不认识这种修改过的IP包，就会丢弃。9、查看R1未部署ip dhcp relay information trust-all，PC1是否可以获取到地址？10、查看PC1是否只能获取到R1合法DHCP服务器的地址？实验二：1、假如PC1也是一个×××，不停的消耗DHCP服务器的地址，很快就会将254个地址消耗空？2、解决方法一：限制Discovery包的发送速率，比如1分钟只能发送1个；3、解决方法二：绑定MAC、vlan、IP地址；4、验证：PC1 shutdown、no shutdown看分钟内地址是否会变？5、验证：PC1 shutdown no shutdown看IP地址是否会变，而且可以查看绑定的信息？实验三：1、源防护：比如有人知道该网段，他自己给PC设置了IP地址，这样的话网管做一些管理是做不了的；所以只要是PC自己手动敲IP地址的，就不允许其上网；2、模拟器可能实验不成功，试一下：在SW2交换机e0/1端口三、命令部署：实验一：SW1(config)#ip dhcp snoopingSW1(config)#ip dhcp snooping vlan 10SW2(config)#ip dhcp snooping //开启DHCP Snooping总开关，启用DHCP Snooping功能SW2(config)#ip dhcp snooping vlan 10 //基于某个VLAN开启

SW1(config)#int range e0/0 , e0/2

SW1(config-if-range)#ip dhcp snooping trustSW2(config)#int e0/0SW2(config-if)#ip dhcp snooping trust

R1(config)#ip dhcp relay information trust-all

实验二：SW2(config-if)#ip dhcp snooping limit rate 1 //1分钟只能接收1个Discovery包或者：SW2(config)#ip source binding aabb.cc00.0510 vlan 10 100.1.1.5 interface e0/1

实验三：

SW2(config)#int e0/1 SW2(config-if)#ip verify source port-security

四、验证：

1、R1未部署ip dhcp relay information trust-all时，PC1获取不到地址：PC1#show ip int briInterface IP-Address OK? Method Status ProtocolEthernet0/0 unassigned YES DHCP up up 2、R1部署ip dhcp relay information trust-all后：May 25 08:17:49.140: %DHCP-6-ADDRESS_ASSIGN: Interface Ethernet0/0 assigned DHCP address 100.1.1.5, mask 255.255.255.0, hostname PC1

3、SW2的e0/1部署Discovery包发送速率后：

PC1这时候多次shutdown、no shutdown，导致SW2的e0/1直接shutdown了，而且好像出错了，接口起不来了

SW2(config-if)#

May 25 08:24:38.336: %LINK-3-UPDOWN: Interface Ethernet0/1, changed state to down