DHCP Snooping是什么？這個問題可能很多朋友不是很清楚。那么這里我們就來簡單講解一下這個問題吧。DHCP Pnooping就是 DHCP 窺探，通過對 Client 和服務器之間的 DHCP 交互報文進行窺探，實現對用戶的監控，同時 DHCP Snooping起到一個 DHCP 報文過濾的功能，通過合理的配置實現對非法服務器的過濾。

下邊對 DHCP Snooping內使用到的一些術語及功能進行一些解釋：

DHCP Snooping TRUST 口：由于 DHCP 獲取 IP的交互報文是使用廣播的形式，從而存在著非法服務器影響用戶正常 IP 的獲取，更有甚者通過非法服務器欺騙竊取用戶信息的現象，為了防止非法服務器的問題，DHCP nooping 把端口分為兩種類型， TRUST口和UNTRUST口，設備只轉發TRUST口收到的DHCP Reply報文，而丟棄所有來自UNTRUST口DHCP Reply報文，這樣我們把合法的DHCP Server 連接的端口設置為 TURST 口，其他口設置為 UNTRUST 口，就可以實現對非法 DHCP Server 的屏蔽。

DHCP Snooping綁定數據庫：

在 DHCP 環境的網絡里經常會出現用戶私自設置IP 地址的問題，用戶私設 IP 地址不但使網絡難以維護，并且會導致一些合法的使用 DHCP 獲取 IP 的用戶因為沖突而無法正常使用網絡， DHCP Snooping通過窺探 Client 和 Server 之間交互的報文，把用戶獲取到的 IP信息以及用戶 MAC、VID、PORT、租約時間等信息組成一個用戶記錄表項，從而形成一個 DHCP Snooping 的用戶數據庫，配合 ARP檢測功能的使用，從而達到控制用戶上網的目的。

通過以上內容，我們對DHCP Snooping是什么，有了簡單的認識，DHCP Snooping 就是通過對經過設備的 DHCP 報文進行合法性檢查，丟棄不合法的 DHCP 報文，并記錄用戶信息生成 DHCP Snooping 綁定數據庫供 ARP 檢測查詢使用。以下幾種類型的報文被認為是非法的 DHCP 報文：

1. UNTRUST 口收到的 DHCP reply 報文，包括 DHCPACK、DHCPNACK、DHCPOFFER 等。

2. 打開 mac 校驗時，源 MAC 與 DHCP 報文攜帶的 DHCP Client 字段值分別為不同的報文。

3. 用戶的信息存在于 DHCP Snooping 綁定數據庫中，但是端口信息與設備保存在DHCP綁定數據庫中的信息中的端口信息不一致的DHCPRELEASE報文。

DHCP Snooping和ARP探測的關系

在了解了DHCP Snooping是什么，以及一些設備的內容，我們再來談談它和ARP探測的關系。ARP 探測就是對經過設備的所有 ARP 報文進行檢查， DHCP Snooping需要提供數據庫信息供 ARP 探測使用，在開啟 DAI 功能的設備上，當收到 ARP報文時，DAI 模塊就根據報文查詢 DHCP snooping的綁定數據庫，只有當收到得 ARP 報文得 mac、ip 和端口信息都匹配時才認為收到的 ARP 報文是合法的，才進行相關的學習和轉發操作，否則丟棄該報文。