Configuração de DHCP snooping: guia prático para provedores
Configuração de DHCP snooping: é o ajuste que faz o switch aceitar respostas de DHCP só nas portas por onde chega o servidor legítimo, descartando as ofertas que saem de roteadores de clientes ligados do jeito errado. De quebra, o switch monta uma tabela com a porta, o MAC e o IP de cada cliente, que serve de base para outras proteções.
Resumo
- O DHCP snooping divide as portas em confiáveis e não confiáveis, e só as confiáveis podem responder a um pedido de IP.
- Ele importa onde o provedor entrega IP por DHCP numa VLAN compartilhada, como IPoE, condomínio e rede corporativa.
- O erro que mais derruba clientes é esquecer de marcar o uplink do servidor como confiável antes de ativar a função.
- A tabela de vínculos precisa ser gravada fora da memória, ou some a cada reinício e leva junto as proteções que dependem dela.
O que é DHCP snooping e que problema ele resolve
DHCP snooping é uma função do switch que inspeciona as mensagens de DHCP e bloqueia as respostas que chegam por portas onde nenhum servidor deveria estar. Ele resolve o servidor DHCP falso, aquele que entrega endereço errado para os vizinhos de VLAN.
O caso típico começa num cliente que liga o cabo do provedor na porta LAN do roteador de casa, em vez da porta WAN. O roteador passa a responder aos pedidos de IP de toda a VLAN, e os vizinhos recebem um endereço privado, um gateway que não leva a lugar nenhum e ficam sem navegar.
Para o suporte, o sintoma é confuso: alguns clientes funcionam, outros não, e reiniciar a ONU às vezes resolve e às vezes piora. Quem pega o endereço do servidor certo primeiro navega; quem pega o do roteador doméstico fica preso até o próximo pedido.
Marcar as portas confiáveis no switch de rede de acesso corta esse problema na origem. É uma das proteções de borda previstas no projeto de rede de camada 2 para provedores, que define onde cada VLAN passa e o que pode entrar por cada tipo de porta.
Portas confiáveis e não confiáveis
Toda porta começa como não confiável quando a função é ativada, e o técnico escolhe uma a uma as que podem responder. A tabela resume o papel de cada tipo de porta numa rede de provedor.
| Porta | Tipo | O que pode passar | Observação |
|---|---|---|---|
| Uplink para o servidor DHCP | Confiável | Ofertas e confirmações de DHCP | Normalmente a porta que sobe para o POP |
| Porta de cliente | Não confiável | Só pedidos de DHCP | Qualquer oferta que chegar por ela é descartada |
| Porta entre switches | Confiável | Tudo, se o switch vizinho também filtra | Se o vizinho não filtra, a proteção precisa estar nele |
| Porta de servidor local | Confiável | Ofertas do servidor daquele site | Comum em rede corporativa com servidor no próprio prédio |
A terceira linha merece atenção. Uma porta entre switches só pode ser confiável se o switch de baixo também filtrar as portas dos clientes dele; caso contrário, o servidor falso entra pelo vizinho e passa direto.
Em que ponto da rede ele fica
O DHCP snooping mora na borda, no switch onde o cliente se liga ou no primeiro equipamento que separa os clientes entre si. No núcleo do backbone ele não ajuda, porque ali o tráfego já chega misturado.
Quando a VLAN do cliente atravessa um núcleo em MPLS, a filtragem continua no switch de acesso, antes do equipamento que encapsula o tráfego. O roteador do núcleo não enxerga a porta física de cada assinante.
Como funciona a configuração de DHCP snooping?
O switch lê cada mensagem de DHCP que passa e confere a direção dela contra o tipo de porta. Pedidos podem vir de qualquer lugar, mas ofertas e confirmações só são aceitas quando entram por uma porta confiável.
A troca de mensagens segue a RFC 2131, listada nas fontes: o cliente pede, o servidor oferece, o cliente aceita e o servidor confirma. O switch acompanha essa conversa sem participar dela e anota o resultado.
Etapa 1 · Pedido
O cliente procura um servidor
O pedido entra pela porta não confiável e é encaminhado normalmente para o uplink.
Etapa 2 · Oferta
O switch confere a origem da oferta
Oferta vinda do uplink confiável passa. Oferta vinda de outra porta de cliente é descartada e contada.
Etapa 3 · Confirmação
O servidor confirma o endereço
A confirmação passa pelo uplink e chega ao cliente, que começa a navegar com o IP certo.
Etapa 4 · Registro
O switch grava o vínculo
Porta, VLAN, MAC, IP e tempo de concessão vão para a tabela de vínculos.
Quando o cliente devolve o endereço ou a concessão vence, o switch apaga a linha correspondente da tabela.
A tabela de vínculos
A tabela de vínculos é o subproduto mais útil da função, porque diz em que porta está cada IP entregue. O técnico do N2 consegue achar um cliente pelo endereço sem abrir o servidor DHCP.
Outras proteções usam essa tabela como referência. A inspeção de ARP e a verificação de IP de origem só sabem quem é legítimo porque o DHCP snooping anotou antes quem recebeu o quê.
Option 82 e o servidor DHCP
Com a função ligada, o switch pode acrescentar ao pedido a informação de porta e equipamento, a chamada option 82, definida na RFC 3046. O servidor passa a saber de onde veio cada pedido.
Isso só funciona se o servidor estiver preparado para receber e, quando for o caso, devolver esse dado. O guia de configuração de DHCP option 82 detalha os formatos e como amarrar o IP à porta do contrato.
Quando vale ativar DHCP snooping no provedor?
Vale onde o IP do cliente é entregue por DHCP numa VLAN que vários clientes dividem. Onde cada cliente tem a própria sessão PPPoE ou a própria VLAN, o ganho é menor.
| Tipo de rede | Como o IP chega ao cliente | Ganho do DHCP snooping |
|---|---|---|
| IPoE com VLAN compartilhada | DHCP na VLAN de vários clientes | Alto: é a proteção principal contra servidor falso |
| Condomínio ou prédio com switch próprio | DHCP do provedor ou do síndico | Alto, desde que o switch seja gerenciável |
| Rede corporativa | DHCP do servidor local | Alto: evita o roteador de mesa levado por um funcionário |
| PPPoE | Pela sessão, não por DHCP | Baixo para o assinante, útil só na VLAN de gerência |
| VLAN por cliente | Isolada por desenho | Baixo: o servidor falso só afeta o próprio cliente |
No PPPoE, o servidor falso continua possível na VLAN, mas não entrega nada que o roteador do vizinho aceite como acesso.
VLAN compartilhada sem proteção nas portas?
No projeto de rede de camada 2, um Especialista define as portas confiáveis, o plano de VLANs e as proteções de cada ponta antes de qualquer mudança em produção.
Escolhas de desenho na VLAN do cliente
Cinco escolhas definem se a função protege ou atrapalha. Combine todas com quem cuida do servidor DHCP.
- Ativação por VLAN: ligue só nas VLANs em que existe DHCP, para não gastar recurso nas outras.
- Uplinks confiáveis: marque apenas as portas que levam ao servidor ou a um switch que também filtra.
- Option 82: decida se o switch insere a porta do cliente e se o servidor espera esse dado.
- Limite de pedidos por porta: impede que um equipamento esgote o pool com pedidos em rajada.
- Base de vínculos gravada: guarde a tabela na memória flash ou num servidor externo.
Configuração de DHCP snooping passo a passo
A ordem certa é marcar o uplink como confiável antes de ligar a função na VLAN. O exemplo usa a VLAN 100 de um switch de acesso com sintaxe Cisco IOS-XE.
- Identifique o uplink: confirme por qual porta chega o servidor DHCP legítimo e se há switches abaixo.
- Marque as portas confiáveis: aplique o trust no uplink antes de qualquer outro comando.
- Ative a função: ligue o DHCP snooping no modo global e depois só na VLAN dos clientes.
- Grave a tabela: aponte a base de vínculos para a flash, para ela voltar depois de um reinício.
- Limite os pedidos: defina a taxa máxima de pedidos nas portas de clientes.
- Confira a option 82: só deixe a inserção ativa se o servidor DHCP estiver preparado.
ip dhcp snooping
ip dhcp snooping vlan 100
ip dhcp snooping information option
ip dhcp snooping database flash:dhcp-snooping.db
!
interface TenGigabitEthernet1/0/49
description UPLINK-SERVIDOR-DHCP
ip dhcp snooping trust
!
interface range GigabitEthernet1/0/1 - 24
description CLIENTES
ip dhcp snooping limit rate 10Nesse equipamento, a função só começa a filtrar quando está ligada nos dois níveis, o global e o da VLAN. O limite de 10 é medido em pacotes de DHCP por segundo em cada porta de cliente.
Quando uma porta passa do limite, muitos switches a desligam por erro até alguém reativar ou até um tempo de recuperação configurado vencer [CONFIRMAR no manual do fabricante]. Por isso o número precisa caber no pior caso de um cliente legítimo, como um condomínio inteiro voltando depois de uma queda de energia.
No RouterOS 7
Na bridge, ative dhcp-snooping=yes e marque trusted=yes só nas portas de uplink. A option 82 é ligada com add-dhcp-option82=yes.
Na prática: ativar numa VLAN que já está em produção
Ligar a função numa VLAN com clientes navegando pede uma janela curta e um plano de volta. A sequência abaixo evita o apagão que acontece quando o uplink fica de fora.
- Antes da janela, liste as portas que levam ao servidor e os switches em cascata, com o desenho atualizado.
- Na janela, aplique o trust nas portas da lista e só depois ative a função na VLAN.
- Peça a um cliente de teste que renove o endereço e confira se a linha dele aparece na tabela.
- Acompanhe os contadores de descarte por alguns minutos e só então encerre a janela.
Se os clientes pararem de receber IP, desligue a função na VLAN, que volta ao estado anterior de imediato, e revise a lista de portas confiáveis antes de tentar de novo.
Erros comuns na configuração de DHCP snooping
Quase toda falha de DHCP snooping é porta confiável no lugar errado ou falta de combinação com o servidor. Os sintomas aparecem como clientes sem IP logo depois da mudança.
Evite
- Ativar a função antes de marcar o uplink, derrubando todos os clientes da VLAN.
- Marcar uma porta de cliente como confiável para resolver um chamado e esquecer de voltar.
- Ligar a option 82 sem o servidor DHCP estar pronto para ler o dado.
- Usar um limite de pedidos tão baixo que bloqueia clientes legítimos depois de uma queda de energia.
- Deixar a tabela de vínculos só na memória, perdida a cada reinício.
- Confiar numa porta entre switches quando o switch de baixo não filtra os próprios clientes.
Um erro específico de redes em cascata aparece com a option 82. Alguns switches descartam, nas portas não confiáveis, pedidos que já chegam com essa informação inserida por outro switch, e o cliente do segundo nível fica sem IP [CONFIRMAR no manual do fabricante].
O sintoma é parecido com o de um loop, porque muitos clientes caem de uma vez. Se houver broadcast em excesso na mesma VLAN, a configuração de storm control ajuda a separar uma causa da outra.
Checklist de validação e próximos passos
Valide com um servidor DHCP falso de teste numa porta de cliente, além de conferir a tabela. Um cliente navegando prova que o servidor certo passa, mas não prova que o errado é barrado.
Confira depois de ativar o DHCP snooping
- Clientes recebem IP normalmente do servidor legítimo.
- Um servidor DHCP ligado numa porta de cliente é ignorado e aparece nos contadores de descarte.
- A tabela de vínculos mostra porta, VLAN, MAC e IP de cada cliente.
- A tabela continua lá depois de reiniciar o switch.
- O uplink e as portas entre switches aparecem como confiáveis, e nenhuma outra.
- O servidor DHCP recebe a option 82 no formato que espera, quando ela está ativa.
Qualquer item sem marca indica que a proteção está incompleta, e o próximo servidor falso volta a derrubar os vizinhos.
show ip dhcp snooping
show ip dhcp snooping binding
show ip dhcp snooping statistics
show ip dhcp snooping databaseA Táquion Tech configura o DHCP snooping dentro do desenho da camada 2 do provedor, com a lista de portas confiáveis documentada e o teste do servidor falso registrado.
O que vem depois do DHCP snooping
Com a tabela de vínculos pronta, o switch já consegue barrar quem usa IP fixo sem autorização e quem responde ARP fingindo ser o gateway. Essas proteções olham para a porta do cliente, e não para o servidor.
Elas aparecem na configuração de port security, que também limita quantos equipamentos cabem em cada porta. Em IPv6, o equivalente é feito à parte, com RA guard e DHCPv6 guard.
Perguntas frequentes sobre configuração de DHCP snooping
Preciso de DHCP snooping numa rede só com PPPoE?
Para o assinante, o ganho é pequeno, porque o IP chega pela sessão PPPoE. Ainda assim, vale ligar nas VLANs de gerência que usam DHCP, como a das ONUs e dos rádios.
O que exatamente a option 82 informa ao servidor?
Ela leva a identificação do equipamento e da porta por onde o pedido entrou, como descreve a RFC 3046. Com isso, o servidor pode reservar IP por porta em vez de por MAC.
DHCP snooping deixa o switch mais lento?
Na maioria dos modelos, o impacto é pequeno, porque só as mensagens de DHCP passam pela inspeção. O que pesa é o tamanho da tabela de vínculos, que tem limite por modelo [CONFIRMAR no manual do fabricante].
Como o IPv6 se protege de servidor falso?
O IPv6 tem proteções equivalentes, como RA guard e DHCPv6 guard, configuradas separadamente. Sem elas, um roteador doméstico ainda pode anunciar um gateway IPv6 falso na mesma VLAN.
Posso usar DHCP snooping em switch não gerenciável?
Não, a função exige um switch gerenciável que inspecione as mensagens de DHCP. Em condomínios com switch simples, a proteção precisa ficar no primeiro equipamento gerenciável acima dele.
Serviços ligados a este guia
- Implantação de POP para provedores Backbone e switching
- Rede para hospitais para empresas Redes corporativas
- Segmentação de rede corporativa para empresas Redes corporativas
- Portal cativo para empresas Wi-Fi corporativo
- Wi-Fi para visitantes para empresas Wi-Fi corporativo
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 2131, Dynamic Host Configuration Protocol: funcionamento do DHCP.
- RFC 3046, DHCP Relay Agent Information Option: a option 82, com a informação da porta do cliente.
- RFC 7513, Source Address Validation Solution for DHCP: validação de endereço de origem a partir do DHCP.
