DHCP Snooping

Esta funcion nos permite evitar posibles ataques de DHCP spoofing ocasionados por servidores DHCP no autorizados.

Vamos a suponer que tenemos configurada una VLAN a la cual pertenecen dos puertos de acceso (GE0/0/2 y GE0/0/3) y un puerto trunk (GE0/0/1) al cual conectaremos nuestro DHCP Server, por lo cual lo configuraremos como trusted interface. También podemos limitar la cantidad de paquetes por segundo que se envín al DHCP server a fin de evitar una sobrecarga en el CPU y la cantidad de usuarios que pueden acceder a una interface.

1. Habilitamos el DHCP snooping a nivel global y establecer que solo se procesen los paquetes IPv4:

   [OPTIMA] dhcp enable 
   [OPTIMA] dhcp snooping enable ipv4
   		

2. Habilitamos el DHCP snooping en las interfaces de acceso:

   [OPTIMA] interface gigabitethernet 0/0/2 
   [OPTIMA-GigabitEthernet0/0/2]dhcp snooping enable
   [OPTIMA-GigabitEthernet0/0/2]quit
   
   [OPTIMA] interface gigabitethernet 0/0/3 
   [OPTIMA-GigabitEthernet0/0/3]dhcp snooping enable
   [OPTIMA-GigabitEthernet0/0/3]quit	

3. Configuramos la interface GE0/0/1 como trusted interface

   [OPTIMA] interface gigabitethernet 0/0/1
   [OPTIMA-GigabitEthernet0/0/1] dhcp snooping trusted
   [OPTIMA-GigabitEthernet0/0/1] quit
   

4. Configuramos el número máximo de mensajes DHCP que podrán ser enviados en 90 pps

   [OPTIMA] dhcp snooping check dhcp-rate enable
   [OPTIMA] dhcp snooping check dhcp-rate 90
   

5. Habilitamos la funci´n alarm para que se descarten paquetes a fin de prevenir ataques DHCP flood

   [OPTIMA] dhcp snooping alarm dhcp-rate enable
   [OPTIMA] dhcp snooping alarm dhcp-rate threshold 500
   

6. Configuramos el número máximo de usuarios por interface y habilitamos el switch para que compare la MAC address en el DHCP request con el que figura en el campo CHADDR de la tabla de datos.

   [OPTIMA] interface gigabitethernet 0/0/2
   [OPTIMA-GigabitEthernet0/0/2] dhcp snooping max-user-number 2
   [OPTIMA-GigabitEthernet0/0/2] dhcp snooping check dhcp-chaddr enable
   [OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr enable
   [OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr threshold 120