DHCP 侦听
Junos OS 设备上的 DHCP 侦听可验证 DHCP 消息并丢弃无效流量。您可以配置 DHCP 中继代理处理 DHCP 侦听数据包的方式。根据配置，DHCP 中继代理会转发或丢弃它收到的侦听数据包。有关更多信息，请阅读本主题。
DHCP 侦听支持
DHCP 侦听通过识别传入的 DHCP 数据包并拒绝网络中不受信任设备确定为不可接受的 DHCP 流量来提供额外的安全性。
什么是 DHCP 侦听
DHCP 动态分配 IP 地址，将地址租赁给设备，以便在分配它们的设备不再需要这些地址时可以重复使用这些地址。需要通过 DHCP 获取 IP 地址的主机和终端设备必须通过 LAN 与 DHCP 服务器通信。
DHCP 侦听会调查传入的 DHCP 数据包并检查 DHCP 消息。它提取分配给客户端的 IP 地址和租赁信息并构建数据库。使用此数据库，它可以确定到达的数据包是否来自有效的客户端，即客户端的 IP 地址是由 DHCP 服务器分配的。这样，DHCP 侦听通过跟踪受信任的 DHCP 服务器（服务器连接到受信任的网络端口）分配给下游网络设备的有效 IP 地址，充当网络安全的守护者。
DHCP 侦听的优势
DHCP 侦听通过动态 IP 源过滤提供额外的安全层。
DHCP 侦听可以通过过滤掉到达错误端口或内容不正确的 DHCP 数据包来防止网络中的恶意 DHCP 活动。
激活 DHCP 侦听
使用 DHCP 侦听功能时，了解如何启用 DHCP 侦听功能非常重要。
在 Junos OS 设备上，不能将 DHCP 侦听功能配置为独立功能。每当为设备的特定 VLAN 或接口或路由实例配置 DHCP 安全或 DHCP 中继或 DHCP 服务器时，都会在该 VLAN/接口/路由实例上自动启用 DHCP 侦听以执行其任务。
例如：
- 在特定路由实例的给定接口列表上启用 DHCP 中继时
- DHCP侦听会在这些接口上为该路由实例自动启用。
- 在特定 VLAN 上启用 DHCP 安全后，系统会自动在该 VLAN 上启用 DHCP 侦听功能。
Junos OS 在以下位置的交换机/路由器/防火墙上启用 DHCP 侦听：
-
在路由实例中配置以下选项时的路由实例：
dhcp-relay[edit forwarding-options] 层次结构级别的语句。dhcp-local-server[edit system services] 层次结构级别的语句。
-
为任何端口安全功能配置以下选项时的交换机：
dhcp-security[edit vlans vlan-name forwarding-options] 层次结构级别的语句。
如果需要配置 DHCP 中继，请使用该 forward-only 语句，除非需要订阅者管理或服务等级 （CoS）。
我们建议您阅读 DHCP 文档，并使用启用了 DHCP 跟踪选项的实验室来检查和了解配置。
配置 DHCP 侦听
在默认的 DHCP 侦听配置中，所有流量都会被侦听。
在 Junos OS 设备上，当您在路由实例中配置以下选项时，将在路由实例中启用 DHCP 侦听：
dhcp-relay[edit forwarding-options]层次结构级别的语句dhcp-local-server[edit system services]层次结构级别的语句您可以选择使用该
forward-snooped-clients语句来评估侦听的流量，并根据接口是否配置为组的一部分来确定流量是转发还是丢弃流量。
如果没有与数据包关联的订阅者，则默认情况下路由器会丢弃该数据包。要启用侦听数据包的正常处理，必须在层次结构级别显式[edit forwarding-options dhcp-relay]配置allow-snooped-clients语句。
您可以为特定路由实例配置 DHCP 侦听支持：
DHCPv4 中继代理 — 覆盖路由器（或交换机）的默认侦听配置，并指定对命名接口组或命名组中的特定接口全局启用或禁用 DHCP 侦听。
在单独的过程中，您可以设置全局配置，以指定 DHCPv4 中继代理是转发还是丢弃所有接口、仅配置接口或仅未配置接口的侦听数据包。路由器还使用全局 DHCP 中继代理侦听配置来确定是转发还是丢弃侦听的 BOOTREPLY 数据包。续订请求可以直接单播到 DHCP 服务器。这是一个 BOOTPREQUEST 数据包，并被窥探。
DHCPv6 中继代理 — 与 DHCPv4 中继代理的侦听支持一样，您可以覆盖路由器上的默认 DHCPv6 中继代理侦听配置，以显式启用或禁用全局侦听支持、命名接口组或具有命名接口组的特定接口。
在多中继拓扑中，如果 DHCPv6 客户端和 DHCPv6 服务器之间有多个 DHCPv6 中继代理，侦听使客户端和服务器之间的干预 DHCPv6 中继代理能够正确接收和处理来自客户端的单播流量，并将其转发到服务器。DHCPv6 中继代理通过在每个转发表的基础上设置 UDP 端口 547（DHCPv6 UDP 服务器端口）的过滤器来侦听传入的单播 DHCPv6 数据包。然后，DHCPv6 中继代理处理过滤器截获的数据包，并将这些数据包转发到 DHCPv6 服务器。
与 DHCPv4 中继代理不同，DHCPv6 中继代理不支持对 DHCPv6 侦听数据包的转发支持的全局配置。
DHCP 本地服务器 — 配置 DHCP 本地服务器是转发还是丢弃所有接口、仅配置接口或仅未配置接口的侦听数据包。
您还可以禁用侦听过滤器。在上述配置中，所有 DHCP 流量都会在转发或丢弃路由实例之前转发到路由实例中速度较慢的路由平面。禁用侦听过滤器会导致可以直接从速度更快的硬件控制平面转发的 DHCP 流量绕过路由控制平面。
示例：配置 DHCP 中继代理的 DHCP 侦听支持
此示例说明如何为 DHCP 中继代理配置 DHCP 侦听支持。
要求
配置 DHCP 中继代理。请参阅 扩展 DHCP 中继代理概述。
概述
在此示例中，您可以通过完成以下操作来配置 DHCP 中继代理的 DHCP 侦听支持：
覆盖默认的 DHCP 侦听配置，并为组中 frankfurt的接口启用 DHCP 侦听支持。
配置 DHCP 中继代理以仅将侦听数据包转发到已配置的接口。
配置
程序
分步过程
要为 DHCP 侦听配置 DHCP 中继支持，请执行以下操作：
指定要配置 DHCP 中继代理。
[edit] user@host# edit forwarding-options dhcp-relay
指定支持 DHCP 侦听的已命名接口组。
[edit forwarding-options dhcp-relay] user@host# edit group frankfurt
指定要包含在组中的接口。DHCP 中继代理在确定是转发还是丢弃流量时，会将这些接口视为已配置的接口。
[edit forwarding-options dhcp-relay group frankfurt] user@host# set interface fe-1/0/1.3 upto fe-1/0/1.9
指定要覆盖组的默认配置。
[edit forwarding-options dhcp-relay group frankfurt] user@host# edit overrides
为组启用 DHCP 侦听支持。
[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# set allow-snooped-clients
[edit forwarding-options dhcp-relay]返回到层次结构级别以配置转发操作，并指定 DHCP 中继代理仅在已配置的接口上转发侦听数据包：[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# up 2
为 DHCP 中继代理启用 DHCP 侦听数据包转发。
[edit forwarding-options dhcp-relay] user@host# edit forward-snooped-clients
指定仅在已配置的接口（组中
frankfurt的接口）上转发侦听数据包。[edit forwarding-options dhcp-relay forward-snooped-clients] user@host# set configured-interfaces
结果
在配置模式下，输入 show forwarding-options 命令确认您的配置。如果输出未显示预期的配置，请重复此示例中的说明以进行更正。以下输出还显示了法兰克福组中配置的接口范围。
[edit]
user@host# show forwarding-options
dhcp-relay {
forward-snooped-clients configured-interfaces;
group frankfurt {
overrides {
allow-snooped-clients;
}
interface fe-1/0/1.3 {
upto fe-1/0/1.9;
}
}
}
如果完成设备配置，请从配置模式输入 commit 。
配置 DHCP 侦听数据包转发支持 DHCP 中继代理
您可以配置 DHCP 中继代理处理 DHCP 侦听数据包的方式。根据配置，DHCP 中继代理会转发或丢弃它收到的侦听数据包。
DHCP 中继使用两部分配置来确定如何处理 DHCP 侦听数据包。本主题介绍如何使用该 forward-snooped-clients 语句来管理 DHCP 中继代理是转发还是丢弃侦听数据包，具体取决于侦听数据包的接口类型。在 DHCP 中继代理侦听配置的另一部分中，启用或禁用 DHCP 中继侦听功能。
表 1 显示了当语句启用 allow-snooped-clients DHCP 侦听时路由器或交换机对侦听数据包执行的操作。
路由器或交换机还使用 DHCP 中继代理转发支持的配置来确定如何处理侦听的 BOOTREPLY 数据包。
forward-snooped-clients 配置 |
对已配置接口的操作 |
对未配置接口的操作 |
|---|---|---|
|
侦听数据包会导致创建订阅者（DHCP 客户端） |
下降 |
|
转发 |
转发 |
|
转发 |
下降 |
|
侦听数据包会导致创建订阅者（DHCP 客户端） |
转发 |
表 2 显示了当语句禁用 no-allow-snooped-clients DHCP 侦听时路由器（或交换机）对侦听数据包执行的操作。
forward-snooped-clients 配置 |
对已配置接口的操作 |
对未配置接口的操作 |
|---|---|---|
|
下降 |
下降 |
|
下降 |
转发 |
|
下降 |
下降 |
|
下降 |
转发 |
表 3 显示了路由器（或交换机）对侦听的 BOOTREPLY 数据包执行的操作。
forward-snooped-clients 配置 |
行动 |
|---|---|
|
如果未找到客户端，则丢弃侦 BOOTREPLY 听数据包 |
|
如果未找到客户端，则转发侦 BOOTREPLY 听数据包 |
已配置的接口已使用层次结构中的[edit forwarding-options dhcp-relay]语句进行group配置。未配置的接口位于逻辑系统/路由实例中，但尚未通过group语句进行配置。
要为 DHCP 中继代理配置 DHCP 侦听数据包转发和 BOOTREPLY 侦听数据包转发，请执行以下操作：
例如，要将 DHCP 中继代理配置为仅在已配置的接口上转发 DHCP 侦听数据包，请执行以下操作：
[edit]
forwarding-options {
dhcp-relay {
forward-snooped-clients configured-interfaces;
}
}