只信任上联口
二层接入交换机开启 DHCP Snooping 后，只有信任口的 DHCP 应答能通过，接入口下私自接的路由器或恶意 DHCP 服务器发出的地址报文会被丢弃。三厂做法一致：全局开启、指定生效 VLAN、把上联网口设为信任，接入口默认就是不信任。
基本信息
| 适用平台 | 华为 VRP 交换机，思科与 H3C 命令同构 |
|---|---|
| 全局开关 | dhcp snooping enable |
| 生效范围 | dhcp snooping enable vlan 10 |
| 信任口 | dhcp snooping trusted（接入口默认不信任） |
| 查看绑定 | display dhcp snooping user-binding dynamic |
| 扩展联动 | 绑定表可联动 IP 源防护与动态 ARP 检测 |
典型使用场景
- 防止私接路由器抢答，终端被引导到错误网关
- 会议室、宿舍等不可控接入区的防私接加固
- 与源地址防护联动，把合法地址与端口绑定起来
- 排查全楼层同时拿不到地址的故障，多因信任口漏配
- 满足合规要求：接入层可追溯地址分配记录
华为 VRP
华为 VRP
dhcp snooping enable # 全局开启
dhcp snooping enable vlan 10 # 指定生效 VLAN
interface GigabitEthernet0/0/24
dhcp snooping trusted # 上联口设信任，缺这步合法应答也被丢
display dhcp snooping user-binding dynamic # 查看动态绑定表
display dhcp snooping # 核对生效范围思科 IOS 与 H3C
思科 IOS 与 H3C
ip dhcp snooping
ip dhcp snooping vlan 10
interface GigabitEthernet1/0/24
ip dhcp snooping trust
show ip dhcp snooping # 核对全局与 VLAN 状态
# H3C Comware
dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet1/0/24
dhcp snooping trust
display dhcp snooping binding三厂命令对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 全局开启 | dhcp snooping enable | ip dhcp snooping | dhcp snooping enable |
| 生效 VLAN | dhcp snooping enable vlan 10 | ip dhcp snooping vlan 10 | dhcp snooping enable vlan 10 |
| 信任口 | dhcp snooping trusted | ip dhcp snooping trust | dhcp snooping trust |
| 查看绑定 | display dhcp snooping user-binding dynamic | show ip dhcp snooping binding | display dhcp snooping binding |
接入口默认就是不信任，不用逐个配置，关键是别漏掉上联口。漏设信任口时整个 VLAN 的合法应答都会被丢弃，现象是全楼层同时拿不到地址，看起来像地址服务器故障，实际原因却在接入交换机。
开启后会生成用户绑定表，如果再联动源地址防护或动态 ARP 检测，必须确认绑定关系已正确学习，否则会造成终端断网。建议先在单个 VLAN 试点验证，再逐步推开。
堆叠或双上联场景中，所有可能的 DHCP 应答入口都要标为信任，包括跨成员的上联口与汇聚侧的备用链路。只信任一条链路时，主备切换后地址下发会立刻失败。