高级网络安全管理员 - 网络设备和安全配置：DHCP 安全配置

---

使用软件Cisco Packet Tracer（思科模拟器）

Cisco Packet Tracer 是由Cisco公司发布的一个辅助学习工具，为学习思科网络课程的初学者去设计、配置、排除网络故障提供了网络模拟环境。用户可以在软件的图形用户界面上直接使用拖曳方法建立网络拓扑，并可提供数据包在网络中行进的详细处理过程，观察网络实时运行情况。可以学习IOS的配置、锻炼故障排查能力。

Packet Tracer是一个功能强大的网络仿真程序，允许学生实验与网络行为，问“如果”的问题。随着网络技术学院的全面的学习经验的一个组成部分，包示踪提供的仿真，可视化，编辑，评估，和协作能力，有利于教学和复杂的技术概念的学习。

Packet Tracer补充物理设备在课堂上允许学生用的设备，一个几乎无限数量的创建网络鼓励实践，发现，和故障排除。基于仿真的学习环境，帮助学生发展如决策第二十一世纪技能，创造性和批判性思维，解决问题。Packet Tracer补充的网络学院的课程，使教师易教，表现出复杂的技术概念和网络系统的设计。

Packet Tracer软件是免费提供的唯一的网络学院的教师，学生，校友，和管理人员，注册学校连接的用户。

附软装安装包

版本8.0，百度网盘自取
链接：https://pan.baidu.com/s/1GLVmHl_2nH5j_u-icNWzQg
提取码：6w9t

DHCP 安全配置简介

DHCP安全配置主要是通过限制设备接口上允许学习到的最多MAC地址数目，防止用户通过变换MAC地址大量发送DHCP请求，同时也限制了一个接口上的用户数目。在实际的应用中，用户通过DSLAM( Digital Subscriber Line Access Multiplexer)设备接入网络，通过给不同的用户配置不同的VLAN来隔离用户。同时为了规避VLAN总数的限制，使用QinQ特性，给用户报文封装两层Tag标签。这时如果在网关上部署了MAC地址限制功能，就需要能够基于两层Tag对MAC数进行限制。

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是一个局域网的网络协议，使用UDP协议工作。它主要有两个用途：一是给内部网络或网络服务供应商自动分配IP地址，二是给用户或者内部网络管理员作为对所有计算机作中央管理的手段。使用DHCP的好处包括：减少管理员的工作量、避免输入错误的可能、避免IP地址冲突、当更改IP地址段时，不需要重新配置每个用户的IP地址、提高了IP地址段的利用率、方便客户端的配置。

DHCP经典应用模式是在网络中架设一台专用的DHCP服务器，负责集中分配各种网络地址参数（主要包括IP地址、子网掩码、广播地址、默认网关地址、DNS服务器地址）；其他主机作为DHCP客户机，将网卡配置为自动获取地址，即可与DHCP服务器进行通信，完成自动配置过程。

总的来说，DHCP安全配置主要是通过限制MAC地址数目和合理利用VLAN、QinQ特性等手段实现网络隔离和保护网络安全的目的。

DHCP 安全配置

在局域网中，经常使用DHCP服务器为用户分配IP地址。DHCP服务由于缺少验证服务，无法保证DHCP服务器的合法性，为保证局域网DHCP服务器的合法性，请完成以下配置，拓扑结构如下：

配置要求：
1.给交换机配置enable密码.
2.在交换机上创建VLAN 100，将F0/1-3口改为Access口，并加入到VLAN 100中。
3.在交换机上启用DHCP侦听功能
4.在VLAN 100中启用侦听
5.将交换机连接合法Server1的端口设置为可信端口
6.将交换机连接PC0的端口设置每秒允许的最大DHCP消息数为2，超过后接口就shutdown。

（一）配置设备IP地址

1，PC0

1，单击pc0打开配置面板

2，勾选DHCP

2，DHCP 服务器

1，单击DHPC服务器，打开配置面板

2，单击【Desktop】-【IP configuration】打开IP地址配置面板

3，输入IP地址和子网掩码

4，勾选【service】-【DHCP】-【service on】

3，非法DHCP 服务器

1，IP地址配置

2，打开DHCP服务

（二）enable密码配置

1，配置过程

2，配置命令

Switch>enable    //用户模式切换到特权模式
Switch#configure terminal  //进入全局配置模式
Switch(config)#enable  password｜secret  123  //配置enable密码 密码123 //password和secret 二选一

（三）创建Vlan 100，将端口划入

1，配置过程

2，配置命令

Switch(config)#vlan 100    //创建VLAN 100 
Switch(config-vlan)#exit
Switch(config)#interface range f0/1-3     Switch(config-if-range)#switchport mode access 
Switch(config-if-range)#switchport access vlan 100
Switch(config-if-range)#exit

（四）DHCP侦听功能

1，在交换机上启用DHCP侦听功能

Switch(config)#ip dhcp snooping

2，在VLAN 100中启用侦听

Switch(config)#ip dhcp snooping vlan 100

3，将交换机连接合法服务器的端口设置为可信端口

Switch(config)#interface fastEthernet 0/2
Switch(config-if)#ip dhcp snooping trust
Switch(config-if)#exit

4，设置每秒允许的最大DHCP消息数

Switch(config)#interface f0/1
Switch(config-if)#ip dhcp snooping limit rate 2  //设置每秒允许的最大DHCP消息数为2
Switch(config-if)#exit

5，配置过程

（五）验证配置