华为路由器 DHCP 服务器 + 地址池绑定 + 防 DHCP 攻击综合部署

admin

在华为路由器上综合部署 DHCP 服务器、地址池绑定（DHCP 静态分配） 和 防 DHCP 攻击 功能，可以有效管理内网 IP 分配并提升网络安全性。以下是详细的配置步骤和注意事项：

---

一、配置 DHCP 服务器

• 启用 DHCP 服务
  

   在全局或接口视图下启用 DHCP 功能：
  

1. system-view
2.    dhcp enable  # 全局启用 DHCP
3.    # 或在接口下启用（可选）
4.    interface GigabitEthernet0/0/1
5.    dhcp select global  # 使用全局地址池

复制代码

• 创建全局地址池
  

   定义 DHCP 地址池并配置参数：
  

1. ip pool DHCP_POOL  # 创建地址池名称
2.    network 192.168.1.0 mask 255.255.255.0  # 分配的网段
3.    gateway-list 192.168.1.1  # 默认网关
4.    dns-list 8.8.8.8 8.8.4.4  # DNS 服务器
5.    lease day 1 hour 0  # 租期（可选）

复制代码

---

二、地址池绑定（静态分配）
通过 MAC 地址与 IP 绑定 实现静态分配，确保特定设备获取固定 IP：

1. ip pool DHCP_POOL
2.    static-bind ip-address 192.168.1.100 mac-address XXXX-XXXX-XXXX  # 绑定 MAC 和 IP
3.    # 可添加多条绑定规则

复制代码

验证绑定：

1. display dhcp static-bind  # 查看静态绑定列表

复制代码

---

三、防 DHCP 攻击配置
1. 启用 DHCP Snooping

• 作用：防止伪造 DHCP 服务器攻击，信任合法 DHCP 服务器端口。
  

1. dhcp snooping enable  # 全局启用
2.   interface GigabitEthernet0/0/1  # 连接合法 DHCP 服务器的接口（如上行口）
3.      dhcp snooping trust  # 标记为信任端口

复制代码

2. 限制 DHCP 报文速率

• 作用：防止 DHCP 泛洪攻击（如大量 DHCP 请求耗尽资源）。
  

1. interface GigabitEthernet0/0/0  # 用户接入端口
2.      dhcp snooping limit rate 10  # 每秒最多允许 10 个 DHCP 报文

复制代码

3. 启用 ARP 检测（可选）

• 结合 DHCP Snooping 数据库验证 ARP 合法性，防止 ARP 欺骗：
  

1. arp anti-attack enable  # 启用 ARP 防攻击
2.   interface GigabitEthernet0/0/0
3.      arp snooping validate src-mac  # 验证 ARP 源 MAC 是否匹配 DHCP 记录

复制代码

---

四、完整配置示例

1. system-view
2. # 启用 DHCP 并配置地址池
3. dhcp enable
4. ip pool DHCP_POOL
5. network 192.168.1.0 mask 255.255.255.0
6. gateway-list 192.168.1.1
7. dns-list 8.8.8.8
8. static-bind ip-address 192.168.1.100 mac-address 00e0-fc12-3456
10. # 接口配置
11. interface GigabitEthernet0/0/1  # 上行口（信任端口）
12. dhcp snooping trust
14. interface GigabitEthernet0/0/0  # 用户端口
15. dhcp snooping enable
16. dhcp snooping limit rate 10
18. # 全局防攻击配置
19. dhcp snooping enable
20. arp anti-attack enable

复制代码

---

五、验证与维护

• 查看 DHCP 状态
  

  

1. display dhcp pool DHCP_POOL  # 查看地址池使用情况
2.    display dhcp snooping status  # 检查 Snooping 状态

复制代码

• 日志与告警  
  
• 配置日志记录攻击事件：
  

   

1. info-center enable
2.      info-center source DHCP channel log  # 记录 DHCP 相关日志

复制代码

• 实时监控攻击：
  1. display dhcp snooping packet statistics

  复制代码

---

六、注意事项

• 信任端口：确保只有合法 DHCP 服务器所在端口被标记为
  1. trust

  复制代码
  。
  
• 速率限制：根据实际网络规模调整
  1. limit rate

  复制代码
  ，避免误杀合法请求。
  
• 备份配置：定期保存配置（
  1. save

  复制代码
  ），防止重启后丢失。
  

---

通过以上配置，华为路由器可以实现 安全的 DHCP 服务，既满足动态 IP 分配需求，又能抵御常见攻击（如 DHCP 欺骗、泛洪）。