imported>TechCorner-Redaktion: Neuer Artikel: DHCP Snooping, Option 82, Binding-Datenbank, Dynamic ARP Inspection

2026-10-15T00:00:00Z

Neuer Artikel: DHCP Snooping, Option 82, Binding-Datenbank, Dynamic ARP Inspection

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; DHCP Snooping, ergänzend Dynamic ARP Inspection und IP Source Guard
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = Privileged EXEC (enable)
| stand = Oktober 2026
}}
'''DHCP Snooping auf dem Cisco Catalyst 2960-X''' schützt das Netz vor fremden [[DHCP]]-Servern: Nur über ausdrücklich vertrauenswürdige Ports – den Uplink zur Firewall oder zum Server – dürfen DHCP-Antworten kommen. Ein versehentlich angeschlossener Heimrouter oder ein Angreifer, der Clients ein falsches Gateway unterschiebt, wird damit wirkungslos. Nebenbei entsteht eine Tabelle, welche IP-Adresse an welchem Port und in welchem VLAN vergeben wurde – die Grundlage für Dynamic ARP Inspection gegen ARP-Spoofing.

[[Datei:Cisco-2960-X-DHCP-Snooping.png|thumb|center|750px|DHCP Snooping auf dem Catalyst 2960-X: Nur der vertrauenswürdige Uplink zum echten DHCP-Server darf DHCP-Antworten liefern, Antworten eines fremden DHCP-Servers an einem Access-Port werden verworfen; aus den Vergaben entsteht die Binding-Tabelle, die Dynamic ARP Inspection nutzt.]]

== DHCP-Snooping-Grundlagen ==
{| class="wikitable"
! Begriff !! Bedeutung
|-
| '''Untrusted Port''' || Standard für alle Ports: DHCP-Anfragen erlaubt, DHCP-Antworten (OFFER, ACK) werden verworfen
|-
| '''Trusted Port''' || Port in Richtung des echten DHCP-Servers – meist der Uplink oder Port-Channel
|-
| '''Binding-Tabelle''' || Liste aus MAC-Adresse, IP-Adresse, Lease-Dauer, VLAN und Port jedes Clients
|-
| '''Option 82''' || Zusatzinformation (Switch und Port), die der Switch standardmäßig in DHCP-Anfragen einfügt
|}
DHCP Snooping ist ab Werk global aus und wird je VLAN eingeschaltet. In einem Stack verwaltet der aktive Switch die Funktion für alle Mitglieder.

== Schritt 1: Uplink als vertrauenswürdig markieren ==
'''Zuerst''' den Weg zum DHCP-Server freigeben – sonst bekommen die Clients nach dem Einschalten keine Adressen mehr:
<syntaxhighlight lang="text">
SW-EG-01# configure terminal
SW-EG-01(config)# interface port-channel 1
SW-EG-01(config-if)# description Uplink CORE-01
SW-EG-01(config-if)# ip dhcp snooping trust
SW-EG-01(config-if)# exit
</syntaxhighlight>
Ohne EtherChannel den Uplink-Port selbst (z. B. <code>te1/0/1</code>) als trusted markieren. Steht der DHCP-Server direkt am Switch, auch dessen Port.

== Schritt 2: Option 82 abschalten (wenn der Switch kein Relay ist) ==
<syntaxhighlight lang="text">
SW-EG-01(config)# no ip dhcp snooping information option
</syntaxhighlight>
Der 2960-X fügt in die Anfragen der Clients Option 82 ein, obwohl er selbst kein DHCP-Relay ist. Viele Router, Firewalls und DHCP-Server verwerfen solche Pakete oder vergeben dann keine Adresse – das häufigste Problem nach dem Einschalten von DHCP Snooping. Wird Option 82 bewusst genutzt (z. B. für eine portabhängige Adressvergabe), den Befehl weglassen und den DHCP-Server entsprechend konfigurieren.

== Schritt 3: Binding-Datenbank sichern ==
Die Binding-Tabelle liegt im Arbeitsspeicher. Damit sie einen Neustart übersteht – wichtig, sobald Dynamic ARP Inspection aktiv ist –, schreibt der Switch sie in eine Datei:
<syntaxhighlight lang="text">
SW-EG-01(config)# ip dhcp snooping database flash:dhcp-snooping.db
SW-EG-01(config)# ip dhcp snooping database write-delay 300
</syntaxhighlight>
Cisco empfiehlt bei vielen Clients einen TFTP-Server (<code>tftp://192.168.99.5/SW-EG-01-dhcp.db</code>), weil der Flash-Speicher begrenzt ist; die Datei muss dort vorher leer angelegt werden. Ist NTP konfiguriert, schreibt der Switch erst, wenn die Uhrzeit synchronisiert ist.

== Schritt 4: DHCP Snooping einschalten ==
<syntaxhighlight lang="text">
SW-EG-01(config)# ip dhcp snooping vlan 10,20,40,50
SW-EG-01(config)# ip dhcp snooping
</syntaxhighlight>
Nur VLANs aufnehmen, deren Clients ihre Adresse per DHCP beziehen. Ein Server-VLAN mit festen Adressen braucht kein Snooping.

== Schritt 5: Rate-Limit auf den Access-Ports ==
Begrenzt die Zahl der DHCP-Pakete je Port und schützt den DHCP-Server vor Überflutung (DHCP Starvation):
<syntaxhighlight lang="text">
SW-EG-01(config)# interface range gi1/0/1 - 44
SW-EG-01(config-if-range)# ip dhcp snooping limit rate 20
SW-EG-01(config-if-range)# exit
SW-EG-01(config)# errdisable recovery cause dhcp-rate-limit
SW-EG-01(config)# end
SW-EG-01# write memory
</syntaxhighlight>
Cisco empfiehlt höchstens 100 Pakete pro Sekunde auf untrusted Ports. Überschreitet ein Port das Limit, wird er gesperrt (''err-disabled'') und durch <code>errdisable recovery</code> nach dem eingestellten Intervall wieder freigegeben. Für Access Points mit vielen WLAN-Clients das Limit höher ansetzen.

== Kontrolle ==
<syntaxhighlight lang="text">
show ip dhcp snooping ! aktiv? VLANs, Option 82, trusted Ports und Limits
show ip dhcp snooping binding ! MAC, IP, Lease, VLAN, Port je Client
show ip dhcp snooping statistics ! u. a. verworfene Pakete
show ip dhcp snooping database ! Status der Binding-Datei
</syntaxhighlight>
Test: An einem Access-Port einen Rechner mit laufendem DHCP-Server anschließen – Clients im selben VLAN dürfen weiterhin nur Adressen vom echten Server bekommen, und die Statistik zeigt verworfene Antworten.

== Erweiterung: Dynamic ARP Inspection ==
Dynamic ARP Inspection (DAI) prüft jede ARP-Nachricht an untrusted Ports gegen die Binding-Tabelle und verwirft gefälschte – damit sind ARP-Spoofing und Man-in-the-Middle-Angriffe im lokalen Netz unterbunden.
<syntaxhighlight lang="text">
SW-EG-01(config)# interface port-channel 1
SW-EG-01(config-if)# ip arp inspection trust
SW-EG-01(config-if)# exit
SW-EG-01(config)# ip arp inspection validate src-mac dst-mac ip
SW-EG-01(config)# ip arp inspection vlan 10,50
SW-EG-01(config)# errdisable recovery cause arp-inspection
</syntaxhighlight>
* '''Geräte mit fester IP-Adresse''' (Drucker, Server) stehen nicht in der Binding-Tabelle und würden blockiert. Für sie eine ARP-Zugriffsliste anlegen – oder DAI nur in reinen DHCP-VLANs aktivieren:
<syntaxhighlight lang="text">
SW-EG-01(config)# arp access-list FESTE-IPS
SW-EG-01(config-arp-nacl)# permit ip host 192.168.10.50 mac host 0050.56a1.2b3c
SW-EG-01(config-arp-nacl)# exit
SW-EG-01(config)# ip arp inspection filter FESTE-IPS vlan 10
</syntaxhighlight>
* Untrusted Ports sind ab Werk auf '''15 ARP-Pakete pro Sekunde''' begrenzt; bei Überschreitung wird der Port gesperrt. Für Access Points mit <code>ip arp inspection limit rate 100</code> erhöhen.
* Alle Prüfungen von <code>validate</code> in '''einem''' Befehl angeben – ein zweiter Aufruf ersetzt den ersten.
Kontrolle: <code>show ip arp inspection</code> und <code>show ip arp inspection statistics</code>.

Zusätzlich kann '''IP Source Guard''' (<code>ip verify source</code> am Access-Port) IP-Pakete mit gefälschter Absenderadresse verwerfen; auch er stützt sich auf die Binding-Tabelle.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Ursache !! Lösung
|-
| Clients bekommen nach dem Einschalten keine Adresse || Uplink nicht trusted oder Option 82 wird vom Server abgelehnt || Schritt 1 und 2 prüfen
|-
| Ports gehen in err-disabled (dhcp-rate-limit) || Limit zu niedrig, z. B. an Access Points || Limit erhöhen
|-
| Drucker mit fester IP nach Aktivieren von DAI nicht erreichbar || kein Eintrag in der Binding-Tabelle || ARP-Zugriffsliste mit <code>ip arp inspection filter</code>
|-
| Nach Neustart Verbindungsprobleme mit DAI || Binding-Tabelle nicht gesichert || Schritt 3 einrichten
|}

== Hinweise ==
* '''Reihenfolge einhalten:''' trusted Ports → Option 82 → Datenbank → VLANs aktivieren. Dann DAI erst nach einigen Tagen, wenn die Binding-Tabelle gefüllt ist.
* '''Alle Switches im Netz:''' DHCP Snooping wirkt nur auf dem Switch, an dem der fremde Server hängt. Deshalb auf allen Access-Switches einrichten; Uplinks zwischen Switches sind trusted.
* '''IPv6:''' Gegen gefälschte Router Advertisements und DHCPv6 helfen die IPv6-First-Hop-Security-Funktionen (RA Guard, DHCPv6 Guard).
* Bei der Absicherung Ihres Netzwerks gegen Angriffe im LAN unterstützt Sie das [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Team von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 2960-X: Port-Security konfigurieren]]
* [[Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren]]
* [[DHCP]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_sec_dhcp_cg.html Cisco: Configuring DHCP (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Leistungen von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

Cisco Catalyst 2960-X: DHCP Snooping konfigurieren - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: DHCP Snooping, Option 82, Binding-Datenbank, Dynamic ARP Inspection