H3C 的 DHCP Snooping
DHCP Snooping 让交换机监听 DHCP 报文，把「IP-MAC-端口-VLAN」记成绑定表，并丢弃非信任口上来自客户端的 DHCP 应答，防止有人私接设备冒充服务器。Comware 的配置是三步：全局使能、按 VLAN 使能、把连服务器或中继方向的上行口设为信任。绑定表同时是 IP Source Guard 与 ARP 检测的判决依据。
基本信息
| 适用设备 | H3C Comware 交换机（接入层最常部署） |
|---|---|
| 配置层级 | 全局使能 → 按 VLAN 使能 → 上行接口设信任 |
| 必要条件 | DHCP 报文经本机转发，服务器或中继方向在上行口 |
| 派生用途 | 绑定表供 IP Source Guard、ARP 检测使用，可写入文件或刷新到其他设备 |
| 核对命令 | display dhcp snooping binding / display dhcp snooping statistics |
三厂命令对照
| 功能 | H3C Comware | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 全局使能 | dhcp snooping enable | dhcp snooping enable | ip dhcp snooping |
| 按 VLAN 使能 | dhcp snooping enable vlan 10 | dhcp snooping enable vlan 10 | ip dhcp snooping vlan 10 |
| 接口信任 | dhcp snooping trust | dhcp snooping trusted | ip dhcp snooping trust |
| 绑定表 | display dhcp snooping binding | display dhcp snooping user-bind all | show ip dhcp snooping binding |
| 统计 | display dhcp snooping statistics | display dhcp snooping statistics | show ip dhcp snooping statistics |
典型使用场景
- 接入层防止私接路由器或伪造 DHCP 服务器，避免终端被引到错误的网关
- 给 IP Source Guard 提供绑定表，实现按「IP+MAC+端口」三元组校验
- 配合 ARP 检测，阻断伪造网关的 ARP 报文
- 排查「某地址到底分给了哪台设备」时反查接入端口
- 安全整改检查项：确认全网接入 VLAN 都开启了 Snooping 且信任口设置正确
H3C Comware
H3C Comware
dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet1/0/24
dhcp snooping trust # 上行口（连服务器/中继方向）
display dhcp snooping binding # 绑定表
display dhcp snooping statistics # 丢弃计数，排查误拦时看这里华为 VRP 与思科 IOS
华为 VRP 与思科 IOS
dhcp snooping enable # 华为：全局
dhcp snooping enable vlan 10
interface GigabitEthernet0/0/24
dhcp snooping trusted
display dhcp snooping user-binding dynamic # 华为绑定表
ip dhcp snooping # 思科：全局
ip dhcp snooping vlan 10
show ip dhcp snooping binding # 思科绑定表绑定表是动态学习的：设备重启、表项老化或终端换端口后都要重新学习。依赖该表的 IP Source Guard 在校验失败时直接丢包，过渡期会出现短暂不通，属于正常现象。巡检时把表项数量与在册终端数量对比，明显偏少说明有终端没走 DHCP。
上行口忘记设信任，服务器回给客户端的 DHCP 应答会被直接丢弃，默认通常没有日志，表现为开了 Snooping 之后终端反而拿不到地址。级联交换机之间的互联口要双向确认信任。判断方法：终端拿不到地址的同时 display dhcp snooping statistics 的丢弃计数在涨，基本可以锁定信任口问题。