Cisco Catalyst 2960-X: DHCP Snooping konfigurieren

Aus maxTechCorner

Auf einen Blick

Gilt fürCisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; DHCP Snooping, ergänzend Dynamic ARP Inspection und IP Source Guard
BereichIT-Security
Dauerca. 30 Minuten
RechtePrivileged EXEC (enable)
StandOktober 2026

DHCP Snooping auf dem Cisco Catalyst 2960-X schützt das Netz vor fremden DHCP-Servern: Nur über ausdrücklich vertrauenswürdige Ports – den Uplink zur Firewall oder zum Server – dürfen DHCP-Antworten kommen. Ein versehentlich angeschlossener Heimrouter oder ein Angreifer, der Clients ein falsches Gateway unterschiebt, wird damit wirkungslos. Nebenbei entsteht eine Tabelle, welche IP-Adresse an welchem Port und in welchem VLAN vergeben wurde – die Grundlage für Dynamic ARP Inspection gegen ARP-Spoofing.

DHCP Snooping auf dem Catalyst 2960-X: Nur der vertrauenswürdige Uplink zum echten DHCP-Server darf DHCP-Antworten liefern, Antworten eines fremden DHCP-Servers an einem Access-Port werden verworfen; aus den Vergaben entsteht die Binding-Tabelle, die Dynamic ARP Inspection nutzt.

DHCP-Snooping-Grundlagen

Begriff Bedeutung
Untrusted Port Standard für alle Ports: DHCP-Anfragen erlaubt, DHCP-Antworten (OFFER, ACK) werden verworfen
Trusted Port Port in Richtung des echten DHCP-Servers – meist der Uplink oder Port-Channel
Binding-Tabelle Liste aus MAC-Adresse, IP-Adresse, Lease-Dauer, VLAN und Port jedes Clients
Option 82 Zusatzinformation (Switch und Port), die der Switch standardmäßig in DHCP-Anfragen einfügt

DHCP Snooping ist ab Werk global aus und wird je VLAN eingeschaltet. In einem Stack verwaltet der aktive Switch die Funktion für alle Mitglieder.

Schritt 1: Uplink als vertrauenswürdig markieren

Zuerst den Weg zum DHCP-Server freigeben – sonst bekommen die Clients nach dem Einschalten keine Adressen mehr: 

SW-EG-01# configure terminal
SW-EG-01(config)# interface port-channel 1
SW-EG-01(config-if)# description Uplink CORE-01
SW-EG-01(config-if)# ip dhcp snooping trust
SW-EG-01(config-if)# exit

Ohne EtherChannel den Uplink-Port selbst (z. B. te1/0/1) als trusted markieren. Steht der DHCP-Server direkt am Switch, auch dessen Port.

Schritt 2: Option 82 abschalten (wenn der Switch kein Relay ist)

SW-EG-01(config)# no ip dhcp snooping information option

Der 2960-X fügt in die Anfragen der Clients Option 82 ein, obwohl er selbst kein DHCP-Relay ist. Viele Router, Firewalls und DHCP-Server verwerfen solche Pakete oder vergeben dann keine Adresse – das häufigste Problem nach dem Einschalten von DHCP Snooping. Wird Option 82 bewusst genutzt (z. B. für eine portabhängige Adressvergabe), den Befehl weglassen und den DHCP-Server entsprechend konfigurieren.

Schritt 3: Binding-Datenbank sichern

Die Binding-Tabelle liegt im Arbeitsspeicher. Damit sie einen Neustart übersteht – wichtig, sobald Dynamic ARP Inspection aktiv ist –, schreibt der Switch sie in eine Datei: 

SW-EG-01(config)# ip dhcp snooping database flash:dhcp-snooping.db
SW-EG-01(config)# ip dhcp snooping database write-delay 300

Cisco empfiehlt bei vielen Clients einen TFTP-Server (tftp://192.168.99.5/SW-EG-01-dhcp.db), weil der Flash-Speicher begrenzt ist; die Datei muss dort vorher leer angelegt werden. Ist NTP konfiguriert, schreibt der Switch erst, wenn die Uhrzeit synchronisiert ist.

Schritt 4: DHCP Snooping einschalten

SW-EG-01(config)# ip dhcp snooping vlan 10,20,40,50
SW-EG-01(config)# ip dhcp snooping

Nur VLANs aufnehmen, deren Clients ihre Adresse per DHCP beziehen. Ein Server-VLAN mit festen Adressen braucht kein Snooping.

Schritt 5: Rate-Limit auf den Access-Ports

Begrenzt die Zahl der DHCP-Pakete je Port und schützt den DHCP-Server vor Überflutung (DHCP Starvation): 

SW-EG-01(config)# interface range gi1/0/1 - 44
SW-EG-01(config-if-range)# ip dhcp snooping limit rate 20
SW-EG-01(config-if-range)# exit
SW-EG-01(config)# errdisable recovery cause dhcp-rate-limit
SW-EG-01(config)# end
SW-EG-01# write memory

Cisco empfiehlt höchstens 100 Pakete pro Sekunde auf untrusted Ports. Überschreitet ein Port das Limit, wird er gesperrt (err-disabled) und durch errdisable recovery nach dem eingestellten Intervall wieder freigegeben. Für Access Points mit vielen WLAN-Clients das Limit höher ansetzen.

Kontrolle

show ip dhcp snooping                   ! aktiv? VLANs, Option 82, trusted Ports und Limits
show ip dhcp snooping binding           ! MAC, IP, Lease, VLAN, Port je Client
show ip dhcp snooping statistics        ! u. a. verworfene Pakete
show ip dhcp snooping database          ! Status der Binding-Datei

Test: An einem Access-Port einen Rechner mit laufendem DHCP-Server anschließen – Clients im selben VLAN dürfen weiterhin nur Adressen vom echten Server bekommen, und die Statistik zeigt verworfene Antworten.

Erweiterung: Dynamic ARP Inspection

Dynamic ARP Inspection (DAI) prüft jede ARP-Nachricht an untrusted Ports gegen die Binding-Tabelle und verwirft gefälschte – damit sind ARP-Spoofing und Man-in-the-Middle-Angriffe im lokalen Netz unterbunden. 

SW-EG-01(config)# interface port-channel 1
SW-EG-01(config-if)# ip arp inspection trust
SW-EG-01(config-if)# exit
SW-EG-01(config)# ip arp inspection validate src-mac dst-mac ip
SW-EG-01(config)# ip arp inspection vlan 10,50
SW-EG-01(config)# errdisable recovery cause arp-inspection
  • Geräte mit fester IP-Adresse (Drucker, Server) stehen nicht in der Binding-Tabelle und würden blockiert. Für sie eine ARP-Zugriffsliste anlegen – oder DAI nur in reinen DHCP-VLANs aktivieren:
SW-EG-01(config)# arp access-list FESTE-IPS
SW-EG-01(config-arp-nacl)# permit ip host 192.168.10.50 mac host 0050.56a1.2b3c
SW-EG-01(config-arp-nacl)# exit
SW-EG-01(config)# ip arp inspection filter FESTE-IPS vlan 10
  • Untrusted Ports sind ab Werk auf 15 ARP-Pakete pro Sekunde begrenzt; bei Überschreitung wird der Port gesperrt. Für Access Points mit ip arp inspection limit rate 100 erhöhen.
  • Alle Prüfungen von validate in einem Befehl angeben – ein zweiter Aufruf ersetzt den ersten.

Kontrolle: show ip arp inspection und show ip arp inspection statistics.

Zusätzlich kann IP Source Guard (ip verify source am Access-Port) IP-Pakete mit gefälschter Absenderadresse verwerfen; auch er stützt sich auf die Binding-Tabelle.

Typische Probleme

Symptom Ursache Lösung
Clients bekommen nach dem Einschalten keine Adresse Uplink nicht trusted oder Option 82 wird vom Server abgelehnt Schritt 1 und 2 prüfen
Ports gehen in err-disabled (dhcp-rate-limit) Limit zu niedrig, z. B. an Access Points Limit erhöhen
Drucker mit fester IP nach Aktivieren von DAI nicht erreichbar kein Eintrag in der Binding-Tabelle ARP-Zugriffsliste mit ip arp inspection filter
Nach Neustart Verbindungsprobleme mit DAI Binding-Tabelle nicht gesichert Schritt 3 einrichten

Hinweise

  • Reihenfolge einhalten: trusted Ports → Option 82 → Datenbank → VLANs aktivieren. Dann DAI erst nach einigen Tagen, wenn die Binding-Tabelle gefüllt ist.
  • Alle Switches im Netz: DHCP Snooping wirkt nur auf dem Switch, an dem der fremde Server hängt. Deshalb auf allen Access-Switches einrichten; Uplinks zwischen Switches sind trusted.
  • IPv6: Gegen gefälschte Router Advertisements und DHCPv6 helfen die IPv6-First-Hop-Security-Funktionen (RA Guard, DHCPv6 Guard).
  • Bei der Absicherung Ihres Netzwerks gegen Angriffe im LAN unterstützt Sie das Cybersecurity-Team von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Cisco_Catalyst_2960-X:_DHCP_Snooping_konfigurieren&oldid=4357“