思科 DHCP Snooping 是什么
思科 IOS 的 DHCP Snooping 需要三步：全局开启、按 VLAN 开启，再把上联方向（连接合法 DHCP 服务器或网关的口）设为 trust。其余接入口默认不信任，来自它们的 DHCP 服务器回应会被丢弃，从而挡住私接 DHCP 服务器抢占终端。未信任的接入口还能限制 DHCP 报文速率，防止泛洪。
基本信息
| 适用设备 | Cisco IOS 交换机（对照华为 VRP、H3C Comware） |
|---|---|
| 开启三步 | 全局开启 → 按 VLAN 开启 → 上联口设 trust |
| 默认行为 | 接入口不信任，丢弃来自接入口的服务器回应 |
| 限速命令 | ip dhcp snooping limit rate N（pps） |
| 绑定表 | show ip dhcp snooping binding |
| 常见组合 | 与动态 ARP 检测、IP 源防护配合使用绑定表 |
典型使用场景
- 接入层防止私接小路由器抢占终端地址（最常见用途）
- 防止 DHCP 报文泛洪抬升设备 CPU
- 为动态 ARP 检测、IP 源防护提供合法绑定表
- 客户端拿到错误网关/地址时，先查是否有人在发 DHCP 回应
- 安全基线落地：DHCP 服务来源可控、有绑定记录可查
思科 IOS
思科 IOS
ip dhcp snooping # 第一步：全局开启
ip dhcp snooping vlan 10 # 第二步：按 VLAN 开启
interface GigabitEthernet1/0/24
ip dhcp snooping trust # 第三步：上联口信任
interface range GigabitEthernet1/0/1-20
ip dhcp snooping limit rate 15 # 接入口限速：每秒最多 15 个 DHCP 包
show ip dhcp snooping binding华为 VRP
华为 VRP
dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet0/0/24
dhcp snooping trusted # 上联口信任
interface GigabitEthernet0/0/1
dhcp snooping check dhcp-rate enable # 开启 DHCP 报文速率检查
display dhcp snooping bindingH3C Comware
H3C Comware
dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet1/0/24
dhcp snooping trust
display dhcp snooping binding
# 速率检查等选项在接口的 dhcp snooping 视图内配置，具体项以版本文档为准三厂 DHCP Snooping 对照
| 操作 | 思科 IOS | 华为 VRP | H3C Comware |
|---|---|---|---|
| 全局开启 | ip dhcp snooping | dhcp snooping enable | dhcp snooping enable |
| 按 VLAN 开启 | ip dhcp snooping vlan 10 | dhcp snooping enable vlan 10 | dhcp snooping enable vlan 10 |
| 上联口信任 | ip dhcp snooping trust | dhcp snooping trusted | dhcp snooping trust |
| 速率限制 | ip dhcp snooping limit rate 15 | dhcp snooping check dhcp-rate enable（阈值另配） | 接口 dhcp snooping 视图内提供检查项 |
| 查看绑定 | show ip dhcp snooping binding | display dhcp snooping binding | display dhcp snooping binding |
trust 只能设在上联合法服务器方向：接入口误设 trust 等于把防护关掉；上联口漏设 trust 则所有 DHCP 回应被丢弃，表现为整 VLAN 客户端拿不到地址。
限速单位是每秒包数（pps）。IP 电话、AP 集中上电时会短时间内发出较多 DHCP 请求，阈值设置要按接入场景评估，具体含义以对应版本文档为准。