Snooping 误拦怎么查
开启 DHCP Snooping 后终端反而拿不到地址，绝大多数是上行口没设信任：服务器或中继回给客户端的应答被交换机直接丢弃，而且默认不产生日志。第二类原因是级联交换机之间的互联口只设了单向信任。排查从确认信任口与丢弃计数开始。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| 首要检查 | 连 DHCP 服务器或中继方向的上行口是否设为信任 |
| 关键命令 | display dhcp snooping configuration / show ip dhcp snooping / display dhcp snooping trust |
| 辅助信号 | 丢弃计数增长、绑定表为空或只有部分表项 |
| 影响范围 | 只影响对应 VLAN 的终端获址，其他 VLAN 正常是关键特征 |
误拦原因对照
| 原因 | 表现 | 处理 |
|---|---|---|
| 上行口未设信任 | 整个 VLAN 终端都拿不到地址 | 把连服务器或中继方向的接口设为信任 |
| 级联口单向信任 | 部分机柜正常、部分异常 | 两端互联口都设为信任 |
| VLAN 未使能 Snooping | 绑定表为空，防护与校验同时失效 | 按 VLAN 使能后再验证终端获址 |
| 绑定表未学习完就启用校验 | 短暂大面积不通 | 等表项稳定后再启用校验类功能 |
| 非信任口误接服务器 | 部分终端能获址、部分被拦 | 统一规划服务器接入口并做端口备注 |
典型使用场景
- 安全整改开启 Snooping 后，某 VLAN 终端集中报无法上网
- 新机柜接入后部分终端拿不到地址，怀疑级联口信任配置遗漏
- 排查私接路由器：确认终端是否被伪服务器引导
- 绑定表为空，需要确认 Snooping 是否真的在监听
- 重启设备后短暂不通，确认是否与绑定表重建有关
华为 VRP 与 H3C Comware
华为 VRP 与 H3C Comware
display dhcp snooping configuration # 华为：全局与接口配置
display dhcp snooping user-bind all # 绑定表是否在生成
display current-configuration | include trusted # 确认信任口
display dhcp snooping binding # H3C：绑定表
display dhcp snooping trust # H3C：信任接口
display dhcp snooping statistics # H3C：丢弃计数思科 IOS
思科 IOS
show ip dhcp snooping # 全局与 VLAN 使能状态
show ip dhcp snooping binding # 绑定表
show ip dhcp snooping statistics # 丢弃与错误计数
show running-config | include trust # 确认哪些接口设了信任丢弃是在数据面完成的，默认多半没有日志，所以这类问题不会在日志里留下线索。判断依据是「终端拿不到地址 + 丢弃计数增长 + 其他 VLAN 正常」这三个特征同时出现。
上行口（朝向 DHCP 服务器或中继的接口）必须设为信任；级联交换机之间的互联口要两端都确认，漏一个方向就会静默丢包。变更前建议记下信任口清单，避免不同人维护时互相覆盖。