vault backup: 2026-05-14 10:49:10

2026-05-14 10:49:10 +03:00
parent 4bbc91d147
commit 7f34f1d9f5
217 changed files with 62 additions and 62 deletions
@@ -0,0 +1,61 @@
+---
+status: seed
+type: lab
+tags:
+  - network
+  - networking
+  - protocols
+  - dhcp
+created: 2025-12-22
+updated: 2026-05-07
+title: Настройка DHCP Snooping И DAI
+---
+
+# Настройка DHCP Snooping И DAI
+Чтобы включить DHCP Snooping и DAI нужно, для начала, задать доверенные и не доверенные порты. По умолчанию, все порты, к которым подключаются конечные пользователи считаются **не доверенными**.
+
+```js
+AccSwitch# conf t
+AccSwitch(config)#
+AccSwitch(config)#int ra gi1/0/1-46
+AccSwitch(config-if-range)#ip dhcp snooping limit rate 15
+AccSwitch(config-if-range)#ip arp inspection limit rate 100
+```
+
+Тут мы задаем количество пакетов, которые должны проходить через не доверенный интерфейс. Обычно такого числа пакетов хватает для получения и обновления IP адреса. Далее настраиваем доверенные интерфейсы:
+```js
+AccSwitch(config)#int ra gi1/0/47-48
+AccSwitch(config-if-range)#ip dhcp snooping trust
+AccSwitch(config-if-range)#ip arp inspection trust
+```
+
+После этого глобально включаем DHCP Snooping, но НЕ ARP Inspection:
+```js
+AccSwitch(config)#ip dhcp snooping
+AccSwitch(config)#ip dhcp snooping vlan 200
+AccSwitch(config)#no ip dhcp snooping information option
+```
+
+Последняя команда отключает опцию 82, которая используется коммутатором в DHCP пакетах, идущих от DHCP клиента через коммутатор к DHCP серверу. Опция 82 содержит информацию об устройстве (например, MAC адрес коммутатора) и информацию о номере порта с которого идет запрос для того, чтобы сервер, опираясь на полученную информацию, смог выдать IP адрес DHCP клиенту из нужной подсети.
+
+Далее переходим к настройке DAI. Если у вас в сети есть устройства со статическим IP адресом, то нужно как-то сказать коммутатору, чтобы порты, к которым подключены такие устройства не проверялись. Для этого существуют ARP списки доступа. Важно, чтобы название access-list-а было именно DAI. По личному опыту знаю, что в противном случае нужно вводить дополнительные команды. А так все работает без лишних команд.
+
+```js
+AccSwitch(config)#
+AccSwitch(config)# arp access-list DAI
+AccSwitch(config-arp-nacl)# permit ip host 192.168.200.25 mac host 0017.6111.a309
+```
+
+В таком порядке добавляем IP адреса всех устройств со статическим IP. Дополнительно можно настроить Sorce Guard. Этим мы конкретное устройство к порту коммутатора, таким образом другое устройство подключенное к указанному порту не сможет выдать себя за привязанное:
+
+```js
+AccSwitch(config)#ip source binding 0017.6111.a309 vlan 200 192.168.200.14 interface Gi1/0/5
+```
+
+Также под не доверенными интерфейсами нужно ввести команду _ip verify source_, которые проверяет источник запросов.
+
+Важно! После всех настроек, приведенных выше, ждем сутки-две чтобы DHCP Snooping таблица заполнилась. В противном случае DAI будет блокировать все запросы, и пользователи не смогут работать в сети. Когда таблица заполнена включаем arp inspection:
+
+```js
+AccSwitch(config)#ip arp inspection vlan 200
+```