DHCP 地址池耗竭攻击与防护组合

攻击者伪造大量 MAC 请求可快速耗光地址池（DHCP Starvation），随后再放假的 DHCP 服务器钓鱼；防护组合：接入限速 + Snooping + 端口安全。

网络设备配置速查网络更新于 2026-10-12

场景	地址池被快速耗尽/出现假服务器
适用	三厂交换机
组合	DHCP Snooping + 报文限速 + 端口安全 MAC 限制

华为 VRP

dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet0/0/1
 dhcp snooping check dhcp-rate enable
 dhcp snooping check dhcp-rate 30      # 阈值以本机 ? 为准

思科 IOS

ip dhcp snooping
ip dhcp snooping vlan 10
interface GigabitEthernet1/0/1
 ip dhcp snooping limit rate 15
 switchport port-security maximum 3
show ip dhcp snooping statistics

H3C Comware

dhcp snooping enable
dhcp snooping enable vlan 10
interface GigabitEthernet1/0/1
 dhcp snooping check mac-address
 dhcp snooping rate-limit 30           # 语法以本机 ? 为准

差异：限速命令三厂命名与层级不同（check dhcp-rate / limit rate / rate-limit），思路一致：接入口每秒允许的 DHCP 包设阈值，超限丢弃。

易错点

只限速不做 port-security：攻击者换端口继续干，接入侧应叠加 MAC 数限制与端口安全

数据来源与参考

Cisco IOS DHCP Snooping rate limit
华为 VRP DHCP 报文限速
H3C Comware DHCP 攻击防护

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌