记得有一次去五所测试，我的电脑开启后，整个实验室的网络都断了，经过排查发现是我的电脑上的DHCP server给接入实验室的终端分配了IP地址，导致网络中断。我的电脑就成了赤果果的“DHCP server仿冒者”。
有时我在家打开电脑，电脑上的DHCP server也会导致家里上不了网，每次开电脑我都是先关了它。
今天我们就一起来了解下DHCP 欺骗是如何导致的，应该怎么解决?
首先，我们先简单了解下 DHCP的交互过程。
第一步：发现阶段
首次接入网络的DHCP客户端不知道DHCP服务器的IP地址，为了学习到DHCP服务器的IP地址，DHCP客户端以广播方式发送DHCP DISCOVER报文（目的IP地址为255.255.255.255）给同一网段内的所有设备（包括DHCP服务器或中继）。
第二步：提供阶段
与DHCP客户端位于同一网段的DHCP服务器都会接收到DHCP DISCOVER报文，DHCP服务器选择跟接收DHCP DISCOVER报文接口的IP地址处于同一网段的地址池，并且从中选择一个可用的IP地址，然后通过DHCP OFFER报文发送给DHCP客户端。
第三步：选择阶段
如果有多个DHCP服务器向DHCP客户端回应DHCP OFFER报文，则DHCP客户端一般只接收第一个收到的DHCP OFFER报文，然后以广播方式发送DHCP REQUEST报文，该报文中包含客户端想选择的DHCP服务器标识符和客户端IP地址。
DHCP客户端广播发送DHCP REQUEST报文通知所有的DHCP服务器，它将选择某个DHCP服务器提供的IP地址，其他DHCP服务器可以重新将曾经分配给客户端的IP地址分配给其他客户端。
第四步：确认阶段
当DHCP服务器收到DHCP客户端发送的DHCP REQUEST报文后，DHCP服务器回应DHCP ACK报文，表示DHCP REQUEST报文中请求的IP地址分配给客户端使用。
接着我们再了解下DHCP 的攻击原理
DHCP攻击原理
由于DHCP Server和DHCP Client之间没有认证机制，所以如果在网络上随意添加一台DHCP服务器，它就可以为客户端分配IP地址以及其他网络参数。如果该DHCP服务器为用户分配错误的IP地址和其他网络参数，将会对网络造成非常大的危害。
DHCP Discover报文是以广播形式发送，无论是合法的DHCP Server，还是非法的DHCP Server都可以接收到DHCP Client发送的DHCP Discover报文。
如果此时DHCP Server仿冒者回应给DHCP Client仿冒信息，如错误的网关地址、错误的DNS（Domain Name System）服务器、错误的IP等信息，DHCP Client将无法获取正确的IP地址和相关信息，导致合法客户无法正常访问网络或信息安全受到严重威胁。
解决方法
为了防止DHCP Server仿冒者攻击，启用DHCP snooping功能，将与合法DHCP服务器直接或间接连接的接口设置为信任接口，其他接口设置为非信任接口。此后，从“非信任（Untrusted）”接口上收到的DHCP回应报文将被直接丢弃，这样可以有效防止DHCP Server仿冒者的攻击。如图所示。
DHCP snooping功能就是专门为了防止DHCP 欺骗而生的。
DHCPSnooping是DHCP的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击。
DHCP Snooping的接口分为信任接口和非信任接口：
- 信任接口正常接收DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文。
- 非信任接口在接收到DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文后，丢弃该报文。
华为模拟器实验环境及配置如下（供参考）：
以上介绍了DHCP的交换过程，以及如何防止DHCP 欺骗，你学到了吗？
如果本文对你有帮助，请点 “赞” 和 “收藏” 吧！
