一、深夜的求救电话：从昆明到德宏，DHCP攻击无处不在
2025年3月的一个雨夜，我接到曲靖某制造业公司IT主管老张的紧急电话：“全公司200多台电脑突然上不了网，连打印机都离线了！”这不是他第一次遇到这种问题，但这次断网范围之广、恢复速度之慢，让他彻底慌了神。我让他先拔掉核心交换机的上行链路，强制终端使用静态IP临时恢复生产，同时远程登录核心交换机查看日志——果然，DHCP服务器日志显示每秒数千个Discover请求，来自不同的MAC地址，但IP地址池已耗尽。
这种场景，我在云南16个地州服务过的中小企业中至少见过50次。从昆明的高新区写字楼到德宏的边境工厂，从大理的客栈集群到红河的矿业公司，DHCP攻击（尤其是伪造DHCP服务器和DHCP泛洪攻击）是企业内网批量断网的头号隐形杀手。今天，我就把这18年积累的进阶排查与根治技巧毫无保留地分享给你。
二、DHCP攻击的真相：不是黑客，而是“内鬼”
很多企业IT人员一听到“攻击”就想到外部黑客，但实际上，中小企业90%以上的DHCP攻击源自内部：
- 员工私接无线路由器：为了手机上网方便，员工在工位网口上插一个家用路由器，它的DHCP服务默认开启，会向整个网段广播虚假IP配置，导致客户端获取到错误的网关或DNS，断网随之而来。
- 恶意DHCP泛洪：某些终端因网卡故障或中毒，不断发送伪造MAC地址的Discover请求，耗尽IP地址池。
- 配置错误的网络设备：新接入的打印机、监控摄像头或测试服务器，如果开启了DHCP服务，也会变成“伪DHCP服务器”。
以曲靖案例为例，最终定位到原因：生产车间一名新员工为了给手机充电时联网，将一个旧TP-Link路由器插到了交换机上。这个路由器的DHCP池是192.168.1.100-200，而公司核心网段是10.10.10.0/24，两者冲突，导致车间30多台工控机获取了错误IP，直接断网。
三、进阶排查三步法：从“抓瞎”到“精准定位”
第一步：流量分析与症状确认
不要一上来就重启路由器或重置交换机。先观察症状：
- 断网是局部的还是全局的？如果是局部（如某楼层或某部门），大概率是接入层设备或私接路由器导致；如果是全局，检查核心交换机或DHCP服务器。
- 客户端IP地址是否异常？在断网终端上执行
ipconfig /all（Windows）或ifconfig（Linux），看IP地址段是否与公司规划一致。如果出现169.254.x.x（APIPA地址），说明DHCP请求无响应；如果出现非规划网段（如192.168.1.x），说明存在伪DHCP服务器。 - 抓包验证：在核心交换机的镜像端口上用Wireshark抓包，过滤
dhcp。你会看到大量重复的Discover请求（泛洪），或来自一个奇怪MAC地址的Offer/ACK（伪服务器）。
云南实战经验：在玉溪某烟草公司，我通过抓包发现DHCP Offer来自一个MAC地址前缀为00-1A-92的设备，查数据库得知是某员工2018年离职时遗留的旧路由器，一直插在角落机柜里。
第二步：日志追踪——谁在“搞鬼”？
现代企业交换机（如华为、H3C、思科）都支持DHCP Snooping日志。以H3C交换机为例：
1. 开启DHCP Snooping并启用日志：dhcp snooping enable
dhcp snooping log enable
2. 查看日志：display dhcp snooping user-bind all // 查看所有合法绑定表display logbuffer reverse // 查看最新日志，过滤包含“DHCP”的条目
日志会记录每个DHCP请求的客户端MAC、端口、VLAN信息。如果某个端口在短时间内出现数百个不同的MAC地址（泛洪），或者出现一个MAC地址发送了非法的Offer，那就是攻击源。
3. 物理定位：根据日志中的端口号，找到对应配线架和网线。在曲靖案例中，日志显示GigabitEthernet1/0/23端口在10分钟内出现了300多个不同MAC的Discover请求，而该端口通过一条长网线连接到车间角落的旧路由器。
第三步：工具辅助——使用“DHCP Starvation”模拟测试
为了确认攻击类型，我建议使用Kali Linux中的yersinia或dhcpstarv工具进行模拟测试（仅限运维环境，切勿用于生产网络）。例如：dhcpstarv -i eth0 -e 10.10.10.1 // 模拟泛洪，观察DHCP服务器响应
如果模拟后断网症状重现，说明攻击者利用的正是泛洪漏洞。此时，需要在交换机上配置DHCP Snooping的速率限制，防止单个端口过度请求。
四、根治四层防御体系：从“被动救火”到“主动防御”
第一层：DHCP Snooping——信任端口与绑定表
在接入层交换机上启用DHCP Snooping，将连接合法DHCP服务器的端口设为信任端口，其他端口自动变为非信任：interface GigabitEthernet1/0/1
dhcp snooping trust
同时开启IP源防护（IP Source Guard）和动态ARP检测（DAI），防止伪造IP和ARP攻击。配置示例：ip source guard
arp detection enable
这样，任何非信任端口收到的DHCP Offer包都会被丢弃，伪DHCP服务器失效。
第二层：端口安全——限制MAC地址数量
在接入层端口上限制最大MAC地址学习数量，防止泛洪：interface GigabitEthernet1/0/23
port-security enable
port-security max-mac-num 3
当某个端口学习的MAC地址超过3个时，端口自动关闭（shutdown），需要管理员手动恢复。这能有效阻断DHCP泛洪。
第三层：VLAN隔离——缩小广播域
将不同部门或功能区域划分到不同VLAN，DHCP请求只在同一VLAN内广播。例如：
- 财务部：VLAN 10
- 生产车间：VLAN 20
- 办公区：VLAN 30
即使某个VLAN内出现伪DHCP服务器，也只会影响该VLAN，不会波及全网。
第四层：静态绑定与DHCP排除
对于核心服务器、打印机等固定设备，使用DHCP静态绑定（基于MAC地址分配固定IP），并排除非必要IP段。在DHCP服务器上设置：host printer01 { hardware ethernet 00:11:22:33:44:55; fixed-address 10.10.10.100; }
同时，将IP地址池中未使用的地址段设为“排除地址”，减少可攻击的范围。
五、实战复盘：曲靖制造业公司的“一小时重生”
回到曲靖案例，我按照以下步骤在1小时内恢复了网络：
- 临时修复：在核心交换机上配置DHCP Snooping，将上行端口设为信任，其他端口设为非信任，立即阻断伪DHCP服务器的Offer。同时，在DHCP服务器上扩大地址池（从/24改为/23），解决IP耗尽问题。
- 定位攻击源：查看DHCP Snooping日志，发现G1/0/23端口异常，通知车间主管拔掉该网线。经过排查，找到那个旧路由器。
- 配置永久防御：在所有接入层交换机上部署DHCP Snooping、端口安全和VLAN隔离。将车间单独划入VLAN 20，并设置速率限制为每秒不超过10个Discover包。
- 用户教育：发布内部通知，严禁员工私接网络设备。同时，为有需要的部门提供企业级AP（AC+AP方案），从根本上消除私接路由器的动机。
如今，该公司再未发生过因DHCP攻击导致的批量断网。而老张也从“救火队员”变成了“防御专家”。
六、总结：从“被动救火”到“主动防御”
DHCP攻击的本质是内网管理混乱和防御缺失。作为云南IT资深工程师，我见过太多企业因为一台几十元的家用路由器导致数万元的业务损失。希望本文的进阶技巧能帮你构建一套“检测-定位-阻断-预防”的闭环体系。
记住：最好的网络故障，是你永远不需要面对的那个。