地址池被耗光是怎么回事
DHCP 地址池是有上限的，攻击者只要伪造大量不同的 MAC 地址连续请求，就能在短时间内把池中地址全部占走，这就是地址耗竭攻击。更麻烦的是第二步：池子被耗尽后，正常终端拿不到地址，此时攻击者在网内放一台假 DHCP 服务器，终端就会从假服务器拿到伪造的网关地址，流量被引导到攻击者设备上。防护要靠组合手段，单靠某一项都容易被绕过。
基本信息
| 适用场景 | 地址池被快速耗尽或出现伪造的 DHCP 服务器 |
|---|---|
| 适用设备 | 三厂接入交换机 |
| 组合手段 | DHCP Snooping + 报文限速 + 端口安全 MAC 限制 |
| 华为命令 | dhcp snooping enable、接口下 dhcp snooping check dhcp-rate |
| 思科命令 | ip dhcp snooping、接口下 ip dhcp snooping limit rate |
| H3C 命令 | dhcp snooping enable、接口下 snooping 限速与检查 |
典型使用场景
- 接入层安全加固：防止用户私接设备伪造成 DHCP 服务器
- 地址池异常告警：短时间内大量地址被占用，需要快速定位来源端口
- 教学与宿舍网络：终端数量大、接入行为不可控，是此类攻击的高发场景
- 事件后处置：确认攻击来源端口并施加端口级限制
- 合规验收：按基线要求落实 Snooping 与限速组合措施
华为 VRP
华为 VRP
[Huawei] dhcp snooping enable
[Huawei] dhcp snooping enable vlan 10
[Huawei] interface GigabitEthernet0/0/1 ! 用户接入端口
[Huawei-GigabitEthernet0/0/1] dhcp snooping check dhcp-rate enable
[Huawei-GigabitEthernet0/0/1] dhcp snooping check dhcp-rate 30 ! 阈值以本机命令补全为准
[Huawei-GigabitEthernet0/0/1] quit
! 上联口需设为信任，否则合法服务器的回应会被丢弃思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科 IOS
SW-CORE-01(config)# ip dhcp snooping
SW-CORE-01(config)# ip dhcp snooping vlan 10
SW-CORE-01(config)# interface GigabitEthernet1/0/1
SW-CORE-01(config-if)# ip dhcp snooping limit rate 15
SW-CORE-01(config-if)# switchport port-security maximum 3
! H3C Comware
[H3C] dhcp snooping enable
[H3C] dhcp snooping enable vlan 10
[H3C-GigabitEthernet1/0/1] dhcp snooping check mac-address
[H3C-GigabitEthernet1/0/1] dhcp snooping rate-limit 30 ! 语法以本机命令补全为准防护组合与作用
| 手段 | 防护对象 | 局限 |
|---|---|---|
| Snooping 信任端口 | 伪造服务器回应 | 信任口设置过宽会失去意义 |
| 报文限速 | 单位时间的请求泛洪 | 只限速时攻击者可换端口继续 |
| 端口安全 MAC 限制 | 单口大量伪造 MAC | 上限设置过大时防护效果有限 |
| 绑定表联动 | 伪造源地址的报文 | 需要 DHCP 与静态绑定配合维护 |
三厂的限速命令命名与所在层级都不同，但思路一致：在用户接入端口上设定每秒允许的 DHCP 报文阈值，超出的直接丢弃，上联口与合法服务器端口保持信任。
限速阈值需要按实际业务校准。过低会误伤批量上线的终端，过高则起不到防护作用，建议按接入端口下挂终端的规模分组设置不同阈值。