VIvlanif.cn

接入安全 · 90 分钟

DHCP Snooping、DAI 与端口安全联动

建立 DHCP 信任边界、ARP 校验和接入口 MAC 数量限制。

接入安全dhcp-snoopingarp-inspectionport-securitydhcp-snooping-bindings
作者：案例内容组 · 核验：内容技术审核组 · 2026/8/5 · 环境：四厂商课程命令参考、隔离园区拓扑与业务验证终端
正在读取学习状态...

1. 需求与验收

阻止伪造 DHCP、ARP 欺骗和私接设备，同时保证合法终端可续租和通信。

学习目标

  • 能够解释“DHCP Snooping、DAI 与端口安全联动”的业务目标、技术前提和影响范围。
  • 能够比较四厂商关键命令差异并按计划完成配置、验证与回滚。
  • 能够根据设备状态和端到端业务证据定位常见错误，而不是依赖试错。

业务验收标准

  • 目标拓扑、VLAN/IP 表和业务访问矩阵全部落地。
  • 设备状态与端到端业务验证均达到预期。
  • 注入故障可按证据定位并恢复，回滚路径经过演练。

2. 范围、风险与窗口

范围约束

  • 仅在批准的园区设备和维护窗口内实施。
  • 保留既有管理通道和至少一条可用回退路径。

不在范围

  • 运营商公网、终端操作系统和业务应用内部配置不在本案例范围。

维护窗口：建议预留 120 分钟，其中至少 20 分钟用于验收和回滚判断。

核心路径切换引起业务抖动

影响：多个 VLAN 可能短时中断。

缓解：分设备、分链路实施并持续监控网关与路由收敛。

策略或路由范围过宽

影响：产生越权访问或流量黑洞。

缓解：先核对匹配范围，再按最小范围发布并用正反向流量验收。

3. 现网与目标拓扑

现网状态

当前园区已具备基础接入，但尚未完成边界安全所需的冗余、策略或服务闭环；实施前必须采集真实拓扑、路由和告警基线。

目标拓扑

DHCP Snooping、DAI 与端口安全联动网络拓扑图
DHCP Snooping、DAI 与端口安全联动目标拓扑沿用星河科技统一园区基线；图中设备、链路和业务区域按本案例范围实施，未标记对象保持现网不变。下载 draw.io 源文件

4. 设备与接口

Campus-Core-1园区主核心交换机支持三层、冗余与安全特性的企业交换机
Campus-Core-2园区备用核心交换机与主核心同等级的平台
Access-SW1终端接入交换机支持 VLAN 与接入安全的交换机
Service-1业务与验收终端提供 DHCP、日志或业务验证服务
设备接口对端用途类型
Campus-Core-1GE0/0/23-24Access-SW1 GE0/0/23-24接入层冗余上联Trunk
Campus-Core-1GE0/0/1Campus-Core-2 GE0/0/1双核心互联三层
Access-SW1GE0/0/10Service-1 Ethernet0业务验证接入Access

5. VLAN 与 IP 规划

区域VLAN网段网关
办公网1010.10.10.0/2410.10.10.1
设备管理网9910.10.99.0/2410.10.99.1

6. 实施前检查

  • 导出运行配置、路由表、邻居表、生成树和关键接口状态。
  • 确认管理通道、Console 或带外访问可用。
  • 核对地址、VLAN、设备能力和目标平台版本。
  • 确认业务联系人、故障升级路径与回滚触发条件。

7. 实施步骤

  1. 冻结基线与确认窗口

    采集当前配置、接口、协议、告警和业务测试结果，确认带外访问、影响范围、停止条件与审批窗口。

  2. 完成目标设计

    根据拓扑、地址表和业务流量形成四厂商实施命令，逐项标明配置对象、顺序、风险和预期状态。

  3. 分阶段实施

    先在备用路径或低风险接口验证，再扩展到主路径；每完成一个阶段立即执行技术和业务检查。

  4. 故障注入与回滚演练

    模拟关键链路、邻居、策略或主设备故障，记录收敛结果；达到停止条件时按案例回滚并验证恢复。

  5. 交付与运维接管

    保存最终配置，更新拓扑、地址表、配置基线、验收输出、遗留风险和日常巡检责任。

8. 四厂商配置

华为 · Campus-Core-1

VRP · V200R019 及以上 / V200R019 及以上（支持 User-Bind 检查的平台）

完整配置
system-view
dhcp enable
dhcp snooping enable
interface GigabitEthernet 0/0/24
dhcp snooping trusted
system-view
interface GigabitEthernet 0/0/1
arp anti-attack check user-bind enable
system-view
interface GigabitEthernet 0/0/1
port-security enable
port-security max-mac-num 2
port-security protect-action restrict
display dhcp snooping user-bind all

华三 · Campus-Core-1

Comware · 7.1 及以上

完整配置
system-view
dhcp snooping enable
interface GigabitEthernet 1/0/24
dhcp snooping trust
system-view
interface GigabitEthernet 0/0/1
arp anti-attack check user-bind enable
system-view
port-security enable
interface GigabitEthernet 1/0/1
port-security max-mac-count 2
port-security port-mode autolearn
display dhcp snooping binding database

思科 · Campus-Core-1

IOS · 15.2 及以上 / 15.2 及以上（支持 DAI 的交换平台）

完整配置
configure terminal
ip dhcp snooping
ip dhcp snooping vlan 10
interface GigabitEthernet0/24
ip dhcp snooping trust
configure terminal
ip arp inspection vlan 10
interface GigabitEthernet0/24
ip arp inspection trust
configure terminal
interface GigabitEthernet0/1
switchport mode access
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address sticky
show ip dhcp snooping binding

锐捷 · Campus-Core-1

RGOS · 11.x 及以上

完整配置
configure terminal
ip dhcp snooping
ip dhcp snooping vlan 10
interface GigabitEthernet 0/24
ip dhcp snooping trust
configure terminal
ip arp inspection vlan 10
interface GigabitEthernet0/24
ip arp inspection trust
configure terminal
interface GigabitEthernet 0/1
switchport mode access
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address sticky
show ip dhcp snooping binding

9. 验证与验收

display dhcp snooping user-bind all

确认客户端成功续租并生成 IP、MAC、VLAN、接口绑定。

display arp anti-attack configuration check user-bind

确认检查已启用，并观察合法与异常 ARP 的统计和日志。

display port-security interface GigabitEthernet 0/0/1

核对最大数量、已学习地址、违规动作和计数。

display dhcp snooping

读取实际状态或计数器，确认“确认终端 IP、MAC、VLAN、接口和租约形成可信绑定”已经满足。

10. 故障定位

服务器上联没有设为可信

合法 Offer 和 Ack 被丢弃，整个受保护区域的客户端无法续租。；确认真实服务器方向，只把该上联设为可信并立即测试客户端续租。

静态地址打印机启用后失联

绑定表中没有该终端，合法 ARP 也会被视为不可信。；上线前为静态终端建立受控绑定或例外，并逐接口验证。

IP 电话级联电脑后触发超限

其中一个合法终端的报文被丢弃，语音或办公业务中断。；上线前盘点电话、电脑、虚拟机和级联设备的实际 MAC 数量并调整上限。

命令可以执行但业务状态未达到预期

仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display dhcp snooping，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。

11. 回滚方法

华为

达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。

undo dhcp snooping trusted
undo arp anti-attack check user-bind enable
undo port-security protect-action restrict
无需回滚（只读操作）

华三

达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。

undo dhcp snooping trust
undo arp anti-attack check user-bind enable
undo port-security port-mode autolearn
无需回滚（只读操作）

思科

达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。

no ip dhcp snooping trust
no ip arp inspection trust
no switchport port-security mac-address sticky
无需回滚（只读操作）

锐捷

达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。

no ip dhcp snooping trust
no ip arp inspection trust
no switchport port-security mac-address sticky
无需回滚（只读操作）

12. 交付物

  • 经确认的需求、范围、风险和实施窗口记录。
  • 现网与目标拓扑、设备接口表、VLAN/IP 表。
  • 四厂商配置、验证输出、故障处置与回滚记录。
  • 业务验收单、配置备份索引和运维交接文档。
DHCP Snooping、DAI 与端口安全联动｜交换机配置案例｜vlanif.cn