DHCP Snooping

01무엇이고, 어떤 일을 하나

• 서버·릴레이 방향의 trusted 포트와 사용자 untrusted 포트를 구분해 불법 Offer 등을 제한한다.
• 임대된 IP·MAC·VLAN·포트·유효 시간의 바인딩을 생성한다.
• DAI·IP Source Guard가 주소 사용의 정당성을 판단할 자료를 제공한다.

02어떤 순서로 동작하나

1. 적용 VLAN과 신뢰 방향

   보호할 VLAN을 지정하고 정상 서버·릴레이로 향하는 포트만 필요한 trusted로 둔다. 사용자 access를 무심코 trusted로 두면 그 포트의 가짜 서버 응답을 막으려는 목적을 훼손한다.

2. 메시지 유입 검사

   DHCP 메시지 종류·수신 포트·옵션·rate 정책을 대조한다. 정상 서버 uplink를 untrusted로 두면 정상 Offer·ACK가 막힐 수 있어 역할과 방향이 정확해야 한다.

3. 정상 임대 학습

   유효한 교환에서 클라이언트의 주소·MAC·VLAN·포트를 연결한다. 단말의 일반 Ethernet 프레임만 봤다는 이유로 DHCP 임대 바인딩이 생기는 것은 아니다.

4. 상태 유지와 소비

   만료·해제·이동·재부팅 조건에 따라 바인딩을 관리한다. DAI·IPSG가 이 상태를 참조하면 복원 완료와 정책 적용 시점이 통신 가능성에 직접 영향을 준다.

03먼저 알아둘 용어와 구성요소

Trusted Port

서버 측 메시지를 수신해도 되는 승인된 방향으로 단말 전체 신뢰와 다르다.

Binding

IP·MAC·VLAN·인터페이스·임대 시간을 연결한 학습 상태다.

Rate Limit

특정 포트의 DHCP 메시지 양을 제한하는 조건으로 정상 부하와 맞아야 한다.

Database Agent

지원 장비에서 바인딩을 외부 또는 영속 위치에 보관·복구하는 기능 문맥이다.

04예제로 따라가기

• 정상 클라이언트가 VLAN10, Gi1/0/1에서 192.0.2.10을 임대받으면 바인딩에 그 결합이 기록된다. 같은 IP를 Gi1/0/2에서 보낸다는 상황은 동일한 승인 연결점이라고 자동 간주하지 않는다.
• 서버 로그에 ACK 송신은 있고 단말에는 없으면 중간 스위치의 trust 방향·VLAN·snooping drop 통계를 본다. 서버 풀이 잘못됐다는 가설만 반복하면 실제 차단 위치를 놓친다.
• 장비 재부팅 후 바인딩이 없는데 보호 정책만 활성화되면 다수 정상 단말이 일시적으로 차단될 수 있다. database 복구와 DHCP 재학습 시점을 비교해 주소 공격과 상태 유실을 구별한다.

05혼동하기 쉬운 점과 확인 기준

• 정적 IP 단말은 DHCP 교환이 없어 바인딩이 자동 생기지 않을 수 있다. 합법적 단말의 예외는 지원하는 정적 바인딩 등 명시적 근거로 관리한다.
• Option82 삽입·검증은 서버와 릴레이 정책까지 연결된다. Snooping을 켜면 모든 서버와 자동 호환된다고 가정하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.