説明

DHCP スヌーピングを理解するには、まず DHCP スプーフィング攻撃について学ぶ必要があります。
DHCP スプーフィングは、攻撃者がクライアントからの DHCP 要求をリッスンし、承認された DHCP 応答がクライアントに届く前に、偽の DHCP 応答で応答する攻撃の一種です。偽の DHCP 応答は、多くの場合、クライアントのデフォルト ゲートウェイとして IP アドレスを提供します。クライアントから送信されたすべてのトラフィックは攻撃者のコンピューターを通過し、攻撃者は「中間者」になります。
攻撃者は、偽の DHCP 応答が最初に到着することを確認するいくつかの方法を使用できます。実際、攻撃者が DHCP サーバーよりも「近い」場合、攻撃者は何もする必要はありません。または、DHCP サーバーを DoS して、DHCP 応答を送信できないようにすることもできます。
DHCP スヌーピングは、DHCP スプーフィング攻撃を防ぐことができます。DHCP スヌーピングは、DHCP 要求に応答できるスイッチ ポートを決定する Cisco Catalyst の機能です。ポートは、信頼できるものと信頼できないものとして識別されます。
承認された DHCP サーバーに接続するポートのみが信頼され、すべての種類の DHCP メッセージの送信が許可されます。スイッチの他のすべてのポートは信頼されておらず、DHCP 要求のみを送信できます。信頼できないポートで DHCP 応答が見られる場合、そのポートはシャットダウンされます。
DHCP サーバーに接続されているポートは、「ip dhcp snooping trust」コマンドを使用して信頼できるポートとして構成する必要があります。ホストに接続するその他のポートは、デフォルトでは信頼できないポートです。
この質問では、以下に示すように、アップリンクを「信頼」(インターフェース Gi1/0/1 の下) に構成する必要があります。