DHCP（Dynamic Host Configuration Protocol，動態主機組態協定）負責向網絡上的終端自動派發 IP 地址、子網掩碼、預設閘道與 DNS 伺服器等組態。按照協定設計（IETF RFC 2131），客戶端以廣播方式尋找伺服器，並且會接受最先回應的伺服器所提供的組態——協定本身沒有任何驗證伺服器身份的機制。
這個「先到先得」的特性帶來兩類風險：其一，用戶自行接入的家用路由器會以其內置 DHCP 向全網派發錯誤組態，令大批電腦無法上網；其二，攻擊者可架設偽冒 DHCP 伺服器，把受害者的閘道或 DNS 指向自己，攔截或竄改流量。DHCP Snooping 正是針對這個弱點在交換機層面加上的防線。
啟用 DHCP Snooping 後，交換機把所有埠分為兩類，並按封包類型作不同處理：
| 埠類型 | 連接對象 | DHCP 客戶端請求 | DHCP 伺服器回應 |
|---|---|---|---|
| 信任埠（Trusted） | 合法 DHCP 伺服器、上行鏈路 | 允許通過 | 允許通過 |
| 非信任埠（Untrusted） | 一般用戶終端、攝影機、印表機等 | 允許通過 | 直接丟棄 |
換言之，只有信任埠可以「派 IP」；用戶埠只可以發出請求，不能扮演伺服器。任何接在用戶埠的非法 DHCP 伺服器，其回應封包在交換機一進門便被丟棄，根本無法影響其他終端。
DHCP Snooping 除了過濾封包，還會監聽整個 DHCP 交互過程，把每個成功取得 IP 的終端記錄到綁定表（Binding Table），內容包括：
這張表是多項進階安全功能的資料來源：動態 ARP 檢測（DAI）以綁定表核對 ARP 封包中的 IP 與 MAC 對應，攔截 ARP 欺騙；IP Source Guard 則以綁定表過濾偽冒來源 IP 的流量。三者配合，構成接入層的完整防護。
啟用前必須把通往合法 DHCP 伺服器的埠與所有上行埠設為信任埠，否則合法回應亦會被丟棄，全網無法取得 IP。
DHCP Snooping 一般以 VLAN 為單位啟用，建議先在測試 VLAN 驗證組態，確認無誤後再推展到全網。
可在非信任埠限制 DHCP 封包速率，防止攻擊者以大量請求耗盡地址池（DHCP 饑餓攻擊）或衝擊交換機處理能力。
DHCP Snooping 解決「派 IP」層面的安全；接入認證交由 802.1X，流量過濾交由 ACL，各司其職構成縱深防禦。
若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
本頁內容由人手或AI輔助生成，雖經核對仍可能存在誤差，僅供參考；產品規格以原廠最新文件為準；有需要請聯絡我們工程師。