DHCP Snooping

Esta funcion nos permite evitar posibles ataques de DHCP spoofing ocasionados por servidores DHCP no autorizados.

Vamos a suponer que tenemos configurada una VLAN a la cual pertenecen dos puertos de acceso (GE0/0/2 y GE0/0/3) y un puerto trunk (GE0/0/1) al cual conectaremos nuestro DHCP Server, por lo cual lo configuraremos como trusted interface. También podemos limitar la cantidad de paquetes por segundo que se envín al DHCP server a fin de evitar una sobrecarga en el CPU y la cantidad de usuarios que pueden acceder a una interface.

  1. Habilitamos el DHCP snooping a nivel global y establecer que solo se procesen los paquetes IPv4:

    [OPTIMA] dhcp enable 
    [OPTIMA] dhcp snooping enable ipv4
    		
  2. Habilitamos el DHCP snooping en las interfaces de acceso:

    [OPTIMA] interface gigabitethernet 0/0/2 
    [OPTIMA-GigabitEthernet0/0/2]dhcp snooping enable
    [OPTIMA-GigabitEthernet0/0/2]quit
    
    [OPTIMA] interface gigabitethernet 0/0/3 
    [OPTIMA-GigabitEthernet0/0/3]dhcp snooping enable
    [OPTIMA-GigabitEthernet0/0/3]quit	
  3. Configuramos la interface GE0/0/1 como trusted interface

    [OPTIMA] interface gigabitethernet 0/0/1
    [OPTIMA-GigabitEthernet0/0/1] dhcp snooping trusted
    [OPTIMA-GigabitEthernet0/0/1] quit
    
  4. Configuramos el número máximo de mensajes DHCP que podrán ser enviados en 90 pps

    [OPTIMA] dhcp snooping check dhcp-rate enable
    [OPTIMA] dhcp snooping check dhcp-rate 90
    
  5. Habilitamos la funci´n alarm para que se descarten paquetes a fin de prevenir ataques DHCP flood

    [OPTIMA] dhcp snooping alarm dhcp-rate enable
    [OPTIMA] dhcp snooping alarm dhcp-rate threshold 500
    
  6. Configuramos el número máximo de usuarios por interface y habilitamos el switch para que compare la MAC address en el DHCP request con el que figura en el campo CHADDR de la tabla de datos.

    [OPTIMA] interface gigabitethernet 0/0/2
    [OPTIMA-GigabitEthernet0/0/2] dhcp snooping max-user-number 2
    [OPTIMA-GigabitEthernet0/0/2] dhcp snooping check dhcp-chaddr enable
    [OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr enable
    [OPTIMA-GigabitEthernet0/0/2] dhcp snooping alarm dhcp-chaddr threshold 120
    
Switches Huawei
Huawei - División Dispositivos de Red