了解和使用受信任的 DHCP 服务器
了解受信任和不受信任的端口以及 DHCP 服务器
DHCP 服务器向网络的 DHCP 客户端提供 IP 地址和其他配置信息。对 DHCP 服务器使用可信端口可防止恶意 DHCP 服务器发送租约。
不受信任的端口会丢弃来自 DHCP 服务器的流量，以防止未经授权的服务器向客户端提供任何配置信息。
默认情况下，所有中继端口都受 DHCP 信任，所有接入端口均不受信任。
您可以配置默认行为的覆盖，以将中继端口设置为不受信任，从而阻止来自该接口的所有入口 DHCP 服务器消息。这对于防止恶意 DHCP 服务器攻击非常有用，在这种攻击中，攻击者已将未经授权的服务器引入网络。此服务器提供给 DHCP 客户端的信息可能会中断其网络访问。未经授权的服务器也可能将自己指定为网络的默认网关设备。然后，攻击者可以嗅探网络流量并实施中间人攻击，也就是说，它将发往合法网络设备的流量错误地定向到其选择的设备。
您还可以将访问端口配置为受信任端口。如果将 DHCP 服务器连接到访问端口，则必须将该端口配置为受信任端口。在执行此操作之前，请确保服务器在物理上是安全的，也就是说，对服务器的访问受到监视和控制。
启用可信的 DHCP 服务器 （ELS）
此示例使用支持增强型第 2 层软件 （ELS） 配置样式的 EX 系列交换机的 Junos OS。
您可以将交换机上连接到 DHCP 服务器的任何接口配置为可信接口（端口）。在可信接口上配置 DHCP 服务器可防止恶意 DHCP 服务器发送租约。
默认情况下，所有接入接口都是不受信任的，所有中继接口都是受信任的。但是，您可以通过在 VLAN 中配置一组接入接口，指定属于该组的接口，然后将该组配置为可信接口来覆盖接入接口的默认设置。
必须先配置 VLAN，然后才能配置受信任的 DHCP 服务器。请参阅为支持 ELS 的 EX 系列交换机配置 VLAN（CLI 过程）。
要使用 CLI 将不受信任的访问接口配置为 DHCP 服务器的可信接口，请执行以下操作：
启用可信的 DHCP 服务器（非 ELS）
您可以使用受信任的 DHCP 服务器和端口防止恶意 DHCP 服务器在您的网络上发送恶意租约。默认情况下，对于 DHCP，所有中继端口都是受信任的，所有接入端口都是不受信任的。并且您只能在接口上设置 DHCP 服务器;也就是说，不支持使用 VLAN。
可信端口允许 DHCP 服务器向请求设备提供 IP 地址和其他信息。不受信任的端口会丢弃来自 DHCP 服务器的流量，以防止未经授权的服务器向客户端提供任何配置信息。
要配置端口以托管 DHCP 服务器，请从 Junos CLI 输入以下命令：
[edit ethernet-switching-options secure-access port] user@switch# set interface ge-0/0/8 dhcp-trusted
其中， 接口 ge-0/0/8 是对您的网络有效的任何受信任且物理安全的接口。
参见
启用可信的 DHCP 服务器（MX 系列路由器）
您可以将交换设备上连接到 DHCP 服务器的任何接口配置为可信接口（端口）。在可信接口上配置 DHCP 服务器可防止恶意 DHCP 服务器发送租约。
默认情况下，所有接入接口都是不受信任的，所有中继接口都是受信任的。但是，您可以通过在桥接域中配置一组接入接口，指定属于该组的接口，然后将该组配置为受信任来覆盖接入接口的默认设置。
必须先配置桥接域，然后才能配置受信任的 DHCP 服务器。
要使用 CLI 将不受信任的访问接口配置为 DHCP 服务器的可信接口，请执行以下操作：
验证受信任的 DHCP 服务器是否正常工作
目的
验证交换机上是否正在运行 DHCP 可信服务器。查看当 DHCP 服务器受信任然后不受信任时会发生什么情况。
行动
从连接到交换机的网络设备（此处为 DHCP 客户端）发送一些 DHCP 请求。
当 DHCP 服务器连接到交换机的接口受信任时，显示 DHCP 侦听信息。当从 MAC 地址发送请求并且服务器已提供 IP 地址和租约时，将产生以下输出：
user@switch> show dhcp snooping binding
DHCP Snooping Information:
MAC Address IP Address Lease Type VLAN Interface
----------------- ---------- ----- ---- ---- ---------
00:05:85:3A:82:77 192.0.2.17 600 dynamic employee—vlan ge-0/0/1.0
00:05:85:3A:82:79 192.0.2.18 653 dynamic employee—vlan ge-0/0/1.0
00:05:85:3A:82:80 192.0.2.19 720 dynamic employee—vlan ge-0/0/2.0
00:05:85:3A:82:81 192.0.2.20 932 dynamic employee—vlan ge-0/0/2.0
00:05:85:3A:82:83 192.0.2.21 1230 dynamic employee—vlan ge-0/0/2.0
00:05:85:27:32:88 192.0.2.22 3200 dynamic employee—vlan ge-0/0/2.0
意义
当 DHCP 服务器连接到交换机的接口设置为受信任时，输出（请参阅前面的示例）会显示每个 MAC 地址的分配 IP 地址和租用时间，即租约到期前剩余的时间（以秒为单位）。
如果 DHCP 服务器配置为不受信任，则不会将任何条目添加到 DHCP 侦听数据库中，并且命令输出 show dhcp snooping binding 中也不会显示任何内容。
参见
将中继接口配置为不受 DHCP 安全信任（CLI 过程）
必须先配置 VLAN，然后才能配置一组接口。请参阅为支持 ELS 的 EX 系列交换机配置 VLAN（CLI 过程）。
不受信任的中继接口在 VLAN 上启用以下 DHCP 安全功能后，支持这些功能：
DHCP 和 DHCPv6 侦听
动态 ARP 检测
IPv6 邻居发现检测
要将中继接口配置为不受信任，必须在 VLAN 中配置一组接口，将中继接口添加到该组，然后将该组配置为不受信任。一个组必须至少有一个接口。
要将中继接口配置为不受信任的 DHCP 安全接口，请执行以下操作：