説明 DHCP スヌーピングを理解するには、まず DHCP スプーフィング攻撃について学ぶ必要があります。
DHCP スプーフィングは、攻撃者がクライアントからの DHCP 要求をリッスンし、承認された DHCP 応答がクライアントに届く前に偽の DHCP 応答で応答する攻撃の一種です。偽の DHCP 応答は、多くの場合、その IP アドレスをクライアントのデフォルト ゲートウェイとして提供します。 -> クライアントから送信されるすべてのトラフィックは攻撃者のコンピュータを通過し、攻撃者は「中間者」になります。攻撃者にはいくつかの方法があります。偽の DHCP 応答が最初に到着することを確認します。実際、攻撃者が DHCP サーバーよりも「近い」場合は、何もする必要はありません。または、DHCP サーバーに DoS を実行して、DHCP 応答を送信できないようにすることもできます。DHCP スヌーピングは、DHCP スプーフィング攻撃を防ぐことができます。DHCP スヌーピングは、どのスイッチ ポートが DHCP 要求に応答できるかを決定する Cisco Catalyst の機能です。ポートは信頼できるポートと信頼できないポートとして識別されます。
承認された DHCP サーバーに接続するポートのみが信頼され、あらゆる種類の DHCP メッセージの送信が許可されます。スイッチ上の他のすべてのポートは信頼されておらず、DHCP 要求のみを送信できます。信頼できないポートで DHCP 応答が確認された場合、そのポートはシャットダウンされます。
DHCP サーバーに接続されているポートは、「ip dhcp snooping trust」コマンドで信頼できるポートとして設定する必要があります。ホストに接続している他のポートは、デフォルトでは信頼できないポートです。
この質問では、以下に示すように、アップリンクを (インターフェイス Gi1/0/1 の下で) 「信頼」に設定する必要があります。

Explanation: