（五）Cisco dhcp snooping实例3-多交换机环境（DHCP服务器和DHCP客户端位于同VLAN）

试验拓扑

 

环境：dhcp server和dhcp客户端属于同vlan，可是客户端属于不一样的交换机，在L2和L3交换机开启dhcp snooping后得出以下结论

 L3交换机的配置

ip dhcp pool vlan27
 network 172.28.27.0 255.255.255.0
 default-router 172.28.27.254 
 dns-server 172.28.28.15 
!         
!         
ip dhcp snooping vlan 27
ip dhcp snooping information option allow-untrusted   //必须加此命令，由于L3交换机也开启了dhcp snooping，具体解释以下
ip dhcp snooping

interface GigabitEthernet0/0
switchport trunk encapsulation dot1q
switchport mode trunk
media-type rj45
speed 1000
duplex full
no negotiation auto
ip dhcp snooping limit rate 720 

 

L2交换机配置

ip dhcp snooping vlan 27
ip dhcp snooping
!
interface GigabitEthernet0/0
 switchport trunk encapsulation dot1q
 switchport mode trunk
 media-type rj45
 speed 1000
 duplex full
 no negotiation auto
 ip dhcp snooping trust

 

说明：

　一、从L2交换机过来的DHCP请求报文是已经被插入了选项82信息，若是将L3的Gi0/0设置为信任端口，那么插入了82选项的DHCP请求报文是容许经过的，但不会为其创建DHCP监听绑定表。即L3上只有win10的绑定条目，而没

　　 有win11的绑定条目。若是此时同时部署DAI，IPSG，因为L2交换机不支持这两项功能，对于L3交换机来讲，从L2交换机上过来的数据可能存在IP欺骗和ARP欺骗等攻击，是不安全的。另外一方面，因为L3交换机没有PC2的绑定

　　条目，而DAI和IPSG必须依赖DHCP监听绑定表。所以若是须要在L3交换机上再部署DAI或者IPSG，就不能将L3交换机的Gi0/0设置为信任端口。可是将Gi0/0口设置为非信任端口之后，默认状况下，非信任端口将会丢弃收到的插

　　入了82选项的DHCP请求报文。而从L2交换机过来的DHCP请求报文又正好是被插入了选项82信息的。所以必须配置ip dhcp snooping information option allow-untrusted（全局）命令，不然L3交换机将丢弃这些DHCP请求

　　报文，接在L2交换机上的win11将得不到IP地址。只有配置了该命令之后，L3交换机才会接收从L2交换机发送的插入了选项82的DHCP报文，并为这些信息建立绑定条目。

　　固然上面若是遇到交换机不支持ip dhcp snooping information option allow-untrusted命令能够有如下两种解决办法：

　　　　①在不支持的交换机的int vlan 内使用 ip dhcp relay information trusted（vlan内） 命令

　　　　②在接入层交换机上面关闭插入option82的功能 no ip dhcp snooping information option

　二、因为思科交换机在开启dhcp snooping后默认会打开 ip dhcp snooping limit rate 15  功能，上述试验里面 L2交换机若是接满了客户端，可是L3链接L2的接口是非信任接口就存在limit rate 15的功能，同理L2的每一个非信任接口

　　  都是如此，想象一种场景，某时刻48个客户端 同时发起dhcp request请求报文，因为L3的下行口默认是限速15个包，这样将致使大部分客户端的dhcp request报文被丢弃，因此为了不此状况应该在L3的下行接口适当调整

　　limit rate速度，计算以下：

　　　　　　假设2960为48口，所以简单的设置限速为48*15=720 

注意：只有当启用了dhcp snooping的汇聚交换机或者核心才须要设置  ip dhcp snooping limit rate。若是一个核心或者汇聚交换机下面的接入层交换机众多，那么这个限速设置就须要注意了，由于端口最大的limit rate是2048，因此

　　　须要调整接入层端口的limit rate，使其变小  可是须要调整为一个合理的数值，由于过小了会致使IP地址获取慢

 

延伸：

    当不开启L3交换机的ip dhcp snooping information option allow-untrusted时，在L3上面使用debug抓ip dhcp snoong信息会看到不断有来自L2的报文被丢弃，由于报文携带giaddr字段而且是非法的

 

L3#debug ip dhcp snooping event 
DHCP Snooping Event debugging is on
*May 25 11:05:44.102: %DHCP_SNOOPING-5-DHCP_SNOOPING_NONZERO_GIADDR: DHCP_SNOOPING drop message with non-zero giaddr or option82 value on untrusted port, message type: DHCPDISCOVER, MAC sa: 5000.000b.0000