DHCP Snooping 加信任口：私接路由器一插就断

办公室有人自带小路由器插上网口，全楼有人拿到错误网段的地址就上不了网——私接 DHCP 服务的破坏力，比多数管理制度的威慑力都大。华为交换机的 DHCP Snooping 把接口分成信任与非信任两级：合法 DHCP 服务器的口设信任，其余口只放行客户端请求，私接的地址分配一出现就拦在半路。

配置五步

全局开 dhcp enable；接入 VLAN 使能 dhcp snooping enable；上联口（接合法 DHCP 服务器的方向）配 dhcp snooping trusted；其余接入口保持默认非信任；可选配 dhcp snooping bind-type 生成"端口-MAC-IP"绑定表，供后续 IPSG 等安全特性引用。配置落点是接入层交换机的业务 VLAN 视图，逐台落地才封得住面。

拦的是什么

非信任口收到的 DHCP Offer 与 ACK 直接丢弃——私接路由器的分配报文到不了客户端；同时 Snooping 会对请求速率做抑制，仿冒服务器连环发报文也会被限速打掉。客户端拿地址的流程不受影响：请求 Discover 从非信任口能出，应答只有信任口能进，方向控制就是这个协议的巧劲。

推开之前先摸底

现网启用 Snooping 前把全网 DHCP 服务器的位置盘一遍：隐藏在某楼层机柜里的小型 DHCP 服务、临时代理过地址的旧设备，都会在启用瞬间变成"断网元凶"。摸底清单与信任口配置一一对应后灰度推开——先一栋楼，观察一周，再全网铺开，翻车面就可控。

推开之前先摸底

现网启用 Snooping 前把全网 DHCP 服务器的位置盘一遍：隐藏在某楼层机柜里的小型 DHCP 服务、临时代理过地址的旧设备，都会在启用瞬间变成"断网元凶"。摸底清单与信任口配置一一对应后灰度推开——先一栋楼，观察一周，再全网铺开，翻车面就可控。

配套两件事

一是接入口配dhcp snooping max online-bindings 之类的数量上限，防单口被当 NAT 出口带一堆终端；二是 Option 82 插入，让 DHCP 服务器知道请求来自哪个端口哪个 VLAN，地址规划与溯源都省力。配合端口安全 sticky-mac（上一批次写过），一个管 IP 分配面、一个管接入设备面，私接问题两头夹死。贵州诚鑫致达科技给客户做接入层整改时，把"信任口清单"当配置变更单管理——哪口能出 DHCP 应答白纸黑字，私接路由器插上去的那一刻，网络自己就会拒绝它。

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。