二层专线里也要防私接DHCP服务器？VPLS网络照挂Snooping

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

VPLS二层专线把两边的局域网在逻辑上缝成一张大二层网，方便是方便，风险也跟着来：任何一端的用户网络里，只要有设备私接了DHCP服务器或者仿冒放地址，整张二层网里的终端都要遭殃——地址发错、网关指歪，故障还特别难追，因为作恶的报文根本不出这条专线。普通的DHCP Snooping部署在网关侧，流量一进VPLS隧道就只带二层封装，网关设备根本看不到DHCP报文的原始面貌。华为交换机为这个场景准备了专门的开关：DHCP Snooping over VPLS，让PE设备在VPLS网络里也能对DHCP报文做侦听和管控，把防线前移到专线入口。

思路还是DHCP Snooping那套信任模型：连接用户侧的接口设为非信任，从这个方向收到的OFFER、ACK等服务器回应一律丢弃；连接网络侧的接口设为信任，合法服务器的回应放行。差别只是这套动作发生在PE设备上、面向VPLS隧道里的报文。

先使能DHCP功能、全局DHCP Snooping，再打开VPLS场景开关——这一步是本场景的灵魂：

[PE1] dhcp enable
[PE1] dhcp snooping enable ipv4
[PE1] dhcp snooping over-vpls enable

接着把用户侧接口和网络侧接口的信任关系定下来：

[PE1] interface gigabitethernet 1/0/1
[PE1-GigabitEthernet1/0/1] dhcp snooping enable
[PE1-GigabitEthernet1/0/1] quit
[PE1] interface gigabitethernet 2/0/1
[PE1-GigabitEthernet2/0/1] dhcp snooping trusted
[PE1-GigabitEthernet2/0/1] quit

防攻击的细活一项项加。用户侧接口开启对DHCP请求报文的检查，并全局开启上送限速，防的是攻击报文把设备处理单元吃满：

[PE1] interface gigabitethernet 1/0/1
[PE1-GigabitEthernet1/0/1] dhcp snooping check dhcp-request enable
[PE1-GigabitEthernet1/0/1] quit
[PE1] dhcp snooping check dhcp-rate enable
[PE1] dhcp snooping check dhcp-rate 90

再上几道锁：用户侧接口检查GIADDR字段，防私接设备伪造中继地址骗地址；限制单接口最大用户数，防表项被刷爆；检查CHADDR字段与源MAC一致，防伪造MAC冒领地址：

[PE1] interface gigabitethernet 1/0/1
[PE1-GigabitEthernet1/0/1] dhcp snooping check dhcp-giaddr enable
[PE1-GigabitEthernet1/0/1] dhcp snooping max-user-number 20
[PE1-GigabitEthernet1/0/1] dhcp snooping check dhcp-chaddr enable
[PE1-GigabitEthernet1/0/1] quit

最终配上告警，各检查项触发时设备主动上报，不用等用户报障才知道有人捣乱；用户侧接口再插入Option82，把用户位置信息带给服务器留档。告警阈值按业务量定，正常网络偶尔的DHCP交互不该告警，阈值太低会刷屏、太高会漏事。配置完用display dhcp snooping configuration和display dhcp snooping user-bind all验收，绑定表一条条对得上才算收工。二层专线承载多客户网络的方案里，这道防线值得做进交付标准。欢迎搜索关注贵州诚鑫致达科技，了解更多交换机安全防护实战配置。