（二）Cisco dhcp snooping配置解釋

#配置dhcp snooping相關命令

Switch(config)#ip dhcp snooping  //打開DHCP Snooping功能
Switch(config)#ip dhcp snooping vlan 10   //設置DHCP Snooping功能將做用於哪些VLAN
Switch(config)#ip dhcp snooping verify  mac-address //檢測非信任端口收到的DHCP請求報文的源MAC和CHADDR字段是否相同以防止DHCP耗竭攻擊該功能默認即爲開啓
Switch(config-if)#ip dhcp snooping trust   //配置接口爲DHCP監聽特性的信任接口，全部接口默認爲非信任接口
Switch(config-if)#ip dhcp snooping limit rate 15  //限制非信任端口的DHCP報文速率爲每秒15個包（默認即爲每秒15個包）若是不配該語句，則show ip dhcp snooping的結果裏將不列出沒有該語句的端口，可選速率範圍爲1-2048

建議：在配置了端口的DHCP報文限速以後，最好配置如下兩條命令
Switch(config)#errdisable recovery cause dhcp-rate-limit  //使因爲DHCP報文限速緣由而被禁用的端口能自動從err-disable狀態恢復
Switch(config)#errdisable recovery interval 30 //設置恢復時間；端口被置爲err-disable狀態後，通過30秒時間才能恢復

Switch(config)#ip dhcp snooping information option //設置交換機是否爲非信任端口收到的DHCP報文插入Option 82，默認即爲開啓狀態
Switch(config)#ip dhcp snooping information option allow-untrusted //設置匯聚交換機將接收從非信任端口收到的接入交換機發來的帶有選項82的DHCP報文
Switch#ip dhcp snooping binding 000f.1fc5.1008 vlan 10 192.168.10.131 interface fa0/2 expiry 692000  //特權模式命令；手工添加一條DHCP監聽綁定條目；expiry爲時間值，即爲監聽綁定表中的lease（租期）

Switch(config)#ip dhcp snooping database flash:dhcp_snooping.db  //將DHCP監聽綁定表保存在flash中，文件名爲dhcp_snooping.db
Switch(config)#ip dhcp snooping database tftp://192.168.2.5/Switch/dhcp_snooping.db //將DHCP監聽綁定表保存到tftp服務器；192.168.2.5爲tftp服務器地址，必須事先肯定可達。URL中的Switch是tftp服務器下一個文件夾；保存後的文件名爲dhcp_snooping.db，當更改保存位置後會當即執行「寫」操做。
Switch(config)#ip dhcp snooping database write-delay 30  //指DHCP監聽綁定表發生更新後，等待30秒，再寫入文件，默認爲300秒；可選範圍爲15-86400秒
Switch(config)#ip dhcp snooping database timeout 60  //指DHCP監聽綁定表嘗試寫入操做失敗後，從新嘗試寫入操做，直到60秒後中止嘗試。默認爲300秒；可選範圍爲0-86400秒
說明：實際上當DHCP監聽綁定表發生改變時會先等待write-delay的時間，而後執行寫入操做，若是寫入操做失敗（好比tftp服務器不可達），接着就等待timeout的時間，在此時間段內不斷重試。在timeout時間事後，中止寫入嘗試。但因爲監聽綁定表已經發生了改變，所以從新開始等待write-delay時間執行寫入操做……不斷循環，直到寫入操做成功。
Switch#renew ip dhcp snooping database flash:dhcp_snooping.db  //特權級命令；當即從保存好的數據庫文件中讀取DHCP監聽綁定表。

 

#顯示dhcp snooping相關命令

 

Switch#show ip dhcp snooping //顯示當前DHCP監聽的各選項和各端口的配置狀況
Switch#show ip dhcp snooping binding //顯示當前的DHCP監聽綁定表
Switch#show ip dhcp snooping database //顯示DHCP監聽綁定數據庫的相關信息
Switch#show ip dhcp snooping statistics //顯示DHCP監聽的工做統計
Switch#clear ip dhcp snooping binding //清除DHCP監聽綁定表；注意：本命令沒法對單一條目進行清除，只能清除全部條目
Switch#clear ip dhcp snooping database statistics //清空DHCP監聽綁定數據庫的計數器
Switch#clear ip dhcp snooping statistics //清空DHCP監聽的工做統計計數器