【73】-防火墙技术DHCP Snooping

1

000-课程答疑方式介绍

2

000-华为课程学习必备工具

「仅限付费用户」点击下载“000-华为课程学习必备工具软件下载链接.zip”

3

001-DHCP安全介绍及项目部署101网络安全功能部署-DHCP Snooping1、背景介绍：DHCP Snooping是一种DHCP的安全特性，通过MAC地址限制、DHCP Snooping安全绑定等技术手段，解决以下这些GJ：DHCP DoSGJ、DHCP Server仿冒GJ，ARP中间人GJ,IP/mac spoofingGJ。2、实验拓扑：3、项目需求：上图所示：USG防火墙作为DHCP Relay,部署在DHCP 客户端与服务器之间，避免网络受到各种DHCPGJ，需要加固安全防范：防止GJ：DHCP Server仿冒GJ；中间人GJ；改变CHADDR值的DoSGJ；仿冒DHCP续约GJ；发送DHCP Request报文GJ。4、网络规划：1、为了防止各种DHCPGJ，需要在全局和接口开启DHCP Snooping功能；2、为了防止各种DHCP server仿冒GJ，划分安全区域；把从Untrust区域接口收到的DHCP Relay报文全部丢失；3、中间人GJ：DHCP Snooping绑定；4、CHADDR值的DoSGJ；查询验证后才放行；5、仿冒DHCP续约GJ；检查查询报文的正确性；6、发送DHCP Request报文GJ；配置DHCP上送速率限制；5、操作步骤

4

002-DHCP安全配置2本节课简介：4.配置对特定报文的检查和DHCP SNOOPING绑定表（1）在DHCP 客户端接口G0/0/2进行ARP报文和IP报文的检查，这样做可以防止中间人GJ与IP/MAC spoofingGJ：[FW1]interface GigabitEthernet 0/0/2[FW1-GigabitEthernet0/0/2]dhcp snooping check arp enable [FW1-GigabitEthernet0/0/2]dhcp snooping check ip enable（2）在DHCP CLIENT接口G0/0/2进行DHCP Request报文检查，防止DHCP 仿冒续约报文的GJ：[FW1-GigabitEthernet0/0/2]dhcp snooping check dhcp-request enable（3）在DHCP CLINET接口G0/0/2进行CHADDR检查，防止CHADDR值的DoSGJ：[FW1-GigabitEthernet0/0/2]dhcp snooping check dhcp-chaddr enable5.配置DHCP上送速率的限制，防止DHCP Request报文GJ：配置DHCP上送速率检查，这样就

5

003-DHCP安全配置3本节课简介：8.配置向网管告警功能6、配置终端设备7.配置DHCP服务器

「仅限付费用户」点击下载“上课笔记20200604-13 - 18网络安全 - 1班.doc”