私接路由器把内网搅乱了：交换机 DHCP Snooping 揪出假地址池

办公室里有人为了自己组个无线网，拿一台家用路由器插进墙上的网口——从这天起，怪事就来了：有人拿到的网关地址不在规划网段里，一部分电脑上不了网，办公系统时通时断。原因很简单：那台私接路由器也在发地址（DHCP），内网里同时存在两个"发地址的人"，谁先抢到答谁，终端领到哪个网段全看运气。交换机上的 DHCP Snooping，就是专门治这个的。

它的思路是把接口分成"信任"与"不信任"两类。 开启 DHCP Snooping 后，交换机把连接终端的端口默认当成不信任口，从不信任口进来的 DHCP 服务器响应（OFFER/ACK 报文）一律丢弃——私接的路由器再怎么发地址也发不出去；只有在确认连接合法 DHCP 服务器（或上联出口）的端口上手工配置信任，正常的地址分配才能通过。这样一台交换机就把"谁有资格发地址"管了起来。

配置走一遍（以 S 系列交换机为例）。 先全局使能 DHCP：

dhcp enable

再到连接终端的下行口使能 DHCP Snooping：

interface GigabitEthernet0/0/1
 dhcp snooping enable

在连接合法 DHCP 服务器方向的上行口设为信任口：

interface GigabitEthernet0/0/24
 dhcp snooping enable
 dhcp snooping trusted

如果终端到 DHCP 服务器之间隔了多台交换机，中间的每一台都要在相应接口使能 DHCP Snooping，并把朝向服务器方向的级联口设为信任口，否则合法响应会在中途被丢掉。

配完怎么验证。 用 display dhcp snooping configuration 查看各接口的使能与信任配置是否如预期；再在终端上重新获取地址，确认领到的是规划内的网关与地址段。日常维护建议把"哪些口是信任口"记进网络台账——信任口配错位置，等于把门又敞开了。

两点延伸。 其一，DHCP Snooping 还会生成一张绑定表（MAC、IP、接口、租期的对应关系），这张表是后续很多安全功能的基础，比如动态 ARP 检测就靠它识别伪造 ARP，为将来加固留了接口。其二，光靠技术不够：制度上明确办公网口不得私接设备，配合端口安全限制接入 MAC 数量，双管齐下才彻底。

一个私接路由器能让半个办公室断网，说明地址分配这个环节值得认真设防。企业内网的准入与防私接体系怎么落地，贵州诚鑫致达科技给本地不少单位做过整网方案，遇到类似问题欢迎留言交流。

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。遵义、六盘水、安顺：群晖 NAS 部署与企业存储技术服务。