DHCP做好后，客户端可以自行修改Ip ，怎么办？

2003server做好以后，客户端可以正常获取IP ,但是客户端也可以自己修改IP ，照样可以上网，我已经将MAC和IP绑定了，请问有什么方法让客户端修改不了IP 吗？公司用的是cisco的路由器和交换机

查了一哈，用dhcp snooping 或者 ip source binding 再加上ip verify source功能是可以实现的

他原理是这样的，利用dhcp server和交换机的dhcp snooping可以给某个特点的交换机端口，或者某个mac 分配某个固定的ip地址，就是说每次去申请dhcp都是给的这个ip地址，如果某个用户想要自己配置ip地址从而实现上网等目的的话，那么他只能自己配置网络管理员“想要给他分配的”那个地址，其他的地址用户配上去理论上是可行的，但是有了ip source binding 和ip verify source这东西以后，交换机会在转发数据的时候核查这个表，如果从这个接口进来的数据ip地址不是给定的地址，那么交换机会做丢弃处理

总的来说，交换机是这么干的，用户你自己可以配地址，但是，前提是你配的这个地址和管理员想要你用的地址一样，否则交换机就不让你出去，就这么简单

引用: 作者: yang_li_ge

查了一哈，用dhcp
snooping 或者 ip source binding 再加上ip verify source功能是可以实现的

他原理是这样的，利用dhcp server和交换机的dhcp snooping可以给某个特点的交换机端口，或者某个mac 分配某个固定的ip地址，就是说每次去申请dhcp都是给的这个ip地址，如果某个用户想要自己配置ip地址从而实现上网等目的的话，那么他只能自己配置网络管理员“想要给他分配的”那个地址，其他的地址用户配上去理论上是可行的，但是有了ip
source binding 和ip verify source这东西以后，交换机会在转发数据的时候核...

不对哦。

并不需要根据MAC分别固定IP。

dhcp snooping和DAI其实不是一个功能。

dhcp snooping是为了监测端口是不是允许DHCP服务器的以及DHCP请求的频度，如果过高就关闭的一种保护功能，由此监视产生了一个动态的IP和MAC的对应表。

DAI是监视ARP广播的，说白了是对付ARP欺骗的。

把这两个功能联动，DAI读取DHCP产生的对应表，某个MAC地址只能发出那个对应表里面对应的IP地址的ARP广播，否则丢包。这样不仅仅是禁止自己设定IP，ARP欺骗行为也被禁止。

这个方法很早就在这个论坛出现，据说是某老牌CCIE的指导。我2006年在这儿看见了这东西，顿时眼前一亮。就是必须在3560以上才行，3550都不行。

version 12.2

no service pad

service timestamps debug datetime msec localtime show-timezone

service timestamps log datetime msec localtime show-timezone

service password-encryption

!

hostname phone-main

!

logging buffered 16384 debugging

enable password 7 094F471A1A0A

!

username admin password 7 0207545505035D0B7C

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

!

aaa session-id common

clock timezone JST 8

vtp mode transparent

!

ip subnet-zero

ip routing

no ip domain-lookup

ip dhcp excluded-address 10.54.156.1 10.54.156.9

ip dhcp excluded-address 10.54.156.129 10.54.156.139

!

ip dhcp pool Data

network 10.54.156.0 255.255.255.128

default-router 10.54.156.1

dns-server 10.54.61.15

option 242 ascii "L2QVLAN=192,VLANTEST=10"

!

ip dhcp pool Voice

network 10.54.156.128 255.255.255.192

default-router 10.54.156.129

option 242 ascii "MCIPADD=10.54.65.8,HTTPSRVR=10.54.65.15"

!

ip dhcp snooping vlan 128,192

ip dhcp snooping

ip arp inspection vlan 128,192

!

mls qos map cos-dscp 0 8 16 26 32 46 48 56

mls qos srr-queue input bandwidth 90 10

mls qos srr-queue input threshold 1 8 16

mls qos srr-queue input threshold 2 34 66

mls qos srr-queue input buffers 67 33

mls qos srr-queue input cos-map queue 1 threshold 2 1

mls qos srr-queue input cos-map queue 1 threshold 3 0

mls qos srr-queue input cos-map queue 2 threshold 1 2

mls qos srr-queue input cos-map queue 2 threshold 2 4 6 7

mls qos srr-queue input cos-map queue 2 threshold 3 3 5

mls qos srr-queue input dscp-map queue 1 threshold 2 9 10 11 12 13 14 15

mls qos srr-queue input dscp-map queue 1 threshold 3 0 1 2 3 4 5 6 7

mls qos srr-queue input dscp-map queue 1 threshold 3 32

mls qos srr-queue input dscp-map queue 2 threshold 1 16 17 18 19 20 21 22 23

mls qos srr-queue input dscp-map queue 2 threshold 2 33 34 35 36 37 38 39 48

mls qos srr-queue input dscp-map queue 2 threshold 2 49 50 51 52 53 54 55 56

mls qos srr-queue input dscp-map queue 2 threshold 2 57 58 59 60 61 62 63

mls qos srr-queue input dscp-map queue 2 threshold 3 24 25 26 27 28 29 30 31

mls qos srr-queue input dscp-map queue 2 threshold 3 40 41 42 43 44 45 46 47

mls qos srr-queue output cos-map queue 1 threshold 3 5

mls qos srr-queue output cos-map queue 2 threshold 3 3 6 7

mls qos srr-queue output cos-map queue 3 threshold 3 2 4

mls qos srr-queue output cos-map queue 4 threshold 2 1

mls qos srr-queue output cos-map queue 4 threshold 3 0

mls qos srr-queue output dscp-map queue 1 threshold 3 40 41 42 43 44 45 46 47

mls qos srr-queue output dscp-map queue 2 threshold 3 24 25 26 27 28 29 30 31

mls qos srr-queue output dscp-map queue 2 threshold 3 48 49 50 51 52 53 54 55

mls qos srr-queue output dscp-map queue 2 threshold 3 56 57 58 59 60 61 62 63

mls qos srr-queue output dscp-map queue 3 threshold 3 16 17 18 19 20 21 22 23

mls qos srr-queue output dscp-map queue 3 threshold 3 32 33 34 35 36 37 38 39

mls qos srr-queue output dscp-map queue 4 threshold 1 8

mls qos srr-queue output dscp-map queue 4 threshold 2 9 10 11 12 13 14 15

mls qos srr-queue output dscp-map queue 4 threshold 3 0 1 2 3 4 5 6 7

mls qos queue-set output 1 threshold 1 138 138 92 138

mls qos queue-set output 1 threshold 2 138 138 92 400

mls qos queue-set output 1 threshold 3 36 77 100 318

mls qos queue-set output 1 threshold 4 20 50 67 400

mls qos queue-set output 2 threshold 1 149 149 100 149

mls qos queue-set output 2 threshold 2 118 118 100 235

mls qos queue-set output 2 threshold 3 41 68 100 272

mls qos queue-set output 2 threshold 4 42 72 100 242

mls qos queue-set output 1 buffers 10 10 26 54

mls qos queue-set output 2 buffers 16 6 17 61

mls qos

!

!

!

!

dot1x system-auth-control

no file verify auto

!

spanning-tree mode rapid-pvst

spanning-tree portfast bpduguard default

no spanning-tree optimize bpdu transmission

spanning-tree extend system-id

spanning-tree vlan 1,192 priority 24576

!

vlan internal allocation policy ascending

!

vlan 128

name Data

!

vlan 192

name Voice

!

vlan 224

name Server

!

interface Port-channel1

switchport trunk encapsulation dot1q

switchport mode trunk

ip arp inspection trust

ip dhcp snooping trust

!

interface FastEthernet0/1

switchport access vlan 128

switchport mode access

switchport voice vlan 192

srr-queue bandwidth share 10 10 60 20

srr-queue bandwidth shape 10 0 0 0

priority-queue out

mls qos trust cos

auto qos voip trust

dot1x pae authenticator

dot1x port-control auto

dot1x host-mode multi-host

dot1x reauthentication

storm-control broadcast level 10.00

storm-control multicast level 5.00

storm-control action shutdown

spanning-tree portfast

!

...

!

interface FastEthernet0/24

no switchport

ip address 192.168.1.18 255.255.255.248

priority-queue out

mls qos trust dscp

!

interface GigabitEthernet0/1

switchport trunk encapsulation dot1q

switchport mode trunk

ip arp inspection trust

channel-group 1 mode desirable

ip dhcp snooping trust

!

interface GigabitEthernet0/2

switchport trunk encapsulation dot1q

switchport mode trunk

ip arp inspection trust

channel-group 1 mode desirable

ip dhcp snooping trust

!

interface Vlan1

no ip address

shutdown

!

interface Vlan128

ip address 10.54.156.2 255.255.255.128

standby 1 ip 10.54.156.1

standby 1 preempt

standby 1 track FastEthernet0/24

!

interface Vlan192

ip address 10.54.156.130 255.255.255.192

standby 2 ip 10.54.156.129

standby 2 priority 110

standby 2 preempt

standby 2 track FastEthernet0/24 20

!

interface Vlan224

ip address 10.54.156.194 255.255.255.224

standby 3 ip 10.54.156.193

standby 3 priority 110

standby 3 preempt

standby 3 track FastEthernet0/24 20

!

router rip

version 2

redistribute connected route-map routeout

network 192.168.1.0

no auto-summary

!

ip classless

no ip http server

no ip http secure-server

!

access-list 1 permit 10.54.156.128 0.0.0.63

access-list 1 permit 10.54.156.192 0.0.0.31

access-list 2 permit 10.54.156.0 0.0.0.127

route-map routeout permit 10

match ip address 1

set metric 1

!

route-map routeout permit 20

match ip address 2

set metric 2

!

radius-server host 10.54.65.15 auth-port 1645 acct-port 1646 key 7 03054D0A1F0E

radius-server source-ports 1645-1646

!

control-plane

!

alias exec c conf t

!

line con 0

line vty 0 4

password 7 02050D480809

line vty 5 15

!

ntp clock-period 36028972

ntp server 10.54.61.15

end