Wovor schützt DHCP-Snooping?

DHCP-Snooping schützt vor allem vor betrügerischen DHCP-Servern, die falsche Gateway- oder DNS-Einstellungen vergeben. Es kann zudem Versuche, den DHCP-Verkehr zu blockieren, durch Client-Adressprüfungen und Ratenbegrenzung einschränken. Die dabei erstellte Bindungstabelle unterstützt weitere Layer-2-Abwehrmaßnahmen.

Was bedeutet „DHCP-Snooping“?

Der Begriff beschreibt einen Switch, der den DHCP-Datenverkehr überwacht (snooping), um festzulegen, welche Ports als Server fungieren dürfen. Der Switch fungiert selbst nicht als DHCP-Server. Er lässt lediglich Nachrichten zu oder blockiert sie und protokolliert Leases.

Funktioniert DHCP-Snooping mit einem DHCP-Relay-Agenten?

Ja, das Snooping funktioniert, wenn Clients den Server über einen Relay-Agenten erreichen. Der Port zum Relay oder Server muss als vertrauenswürdig eingestuft sein. Die Behandlung der Relay-Informationsoption sollte über den gesamten Pfad hinweg konsistent sein.

Welchen Ports sollte man beim DHCP-Snooping vertrauen?

Vertrauen Sie nur Ports, die zu legitimen DHCP-Servern oder Relay-Agenten führen, wie z. B. Uplinks. Lassen Sie Ports, die zum Client hin ausgerichtet sind, als nicht vertrauenswürdig. Das Vertrauen in zusätzliche Ports schwächt den Schutz.

Glossar
Was ist DHCP-Snooping?

Sicherheitsglossar

Was ist DHCP-Snooping?

DHCP-Snooping ist eine Sicherheitsmaßnahme auf Layer 2, die DHCP-Nachrichten auf einem Switch filtert, um zu verhindern, dass nicht autorisierte DHCP-Server Adressen vergeben. Dabei werden Ports als vertrauenswürdig oder nicht vertrauenswürdig eingestuft und eine Bindungstabelle erstellt, die Client-MAC-Adressen den zugewiesenen IP-Adressen, VLANs und Ports zuordnet.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

DHCP snooping is a Layer 2 security control that filters DHCP messages on network switches to block unauthorized DHCP servers from distributing incorrect gateway or DNS settings to clients. The feature classifies switch ports as trusted or untrusted, inspects DHCP packets in enabled VLANs, and maintains a binding table that maps client MAC addresses to assigned IP addresses, lease times, VLANs, and ports. Proper configuration—including designating only uplink ports as trusted, ensuring the binding table persists across switch reloads, and maintaining consistent option 82 handling in relay deployments—is critical to prevent legitimate clients from being blocked and to support related Layer 2 protections such as dynamic ARP inspection and IP source guard.

DHCP snooping drops server messages such as DHCP offers and acknowledgments that arrive on untrusted ports, preventing rogue DHCP servers connected to access ports from answering client requests.
The binding table built by DHCP snooping is used by related security features such as dynamic ARP inspection and IP source guard to block traffic that does not match a known lease, enabling multiple protections from a single data structure.
Common configuration failures include leaving the uplink port toward the legitimate server untrusted (which blocks valid clients from obtaining addresses), losing the binding table after switch reload if not stored persistently, and misaligned relay option 82 settings that cause DHCP clients to fail lease acquisition.

DHCP-Snooping auf einen Blick

Attribute	Value
Category	Security control
Protocol and port	Inspects DHCP messages, which use UDP ports 67 and 68
OSI layer	Layer 2, with inspection of Layer 3 and 4 DHCP fields
Primary use	Blocking rogue DHCP servers and building a table of valid lease bindings
Related terms	DHCP, Rogue DHCP server, Dynamic ARP inspection, IP source guard, DHCP relay, DHCP option 82

So funktioniert DHCP-Snooping

Ein Switch mit aktiviertem DHCP-Snooping überprüft DHCP-Pakete in den VLANs, in denen diese Funktion aktiviert ist. Ein Administrator kennzeichnet jeden Port als vertrauenswürdig oder nicht vertrauenswürdig, und der Switch wendet auf jeden Port unterschiedliche Regeln an.

Vertrauenswürdige Ports festlegen: Der Administrator kennzeichnet Ports, die zu legitimen DHCP-Servern oder Relay-Agenten führen, als vertrauenswürdig. Alle anderen Ports, in der Regel diejenigen, die zu Client-Geräten führen, bleiben als nicht vertrauenswürdig eingestuft.
Server-Nachrichten filtern: Der Switch verwirft DHCP-Server-Nachrichten, wie z. B. Angebote und Bestätigungen, die an einem nicht vertrauenswürdigen Port eintreffen. Dadurch wird verhindert, dass ein nicht autorisierter Server an einem Zugangsport auf Client-Anfragen antwortet.
Client-Nachrichten prüfen: An nicht vertrauenswürdigen Ports kann der Switch überprüfen, ob die Client-Hardwareadresse in einer DHCP-Anfrage mit der Quell-MAC-Adresse des Frames übereinstimmt. Dies schränkt bestimmte Erschöpfungsangriffe ein, bei denen gefälschte Adressen verwendet werden.
Erstellen der Bindungstabelle: Wenn ein Client eine gültige Lease erhält, erfasst der Switch die MAC-Adresse des Clients, die zugewiesene IP-Adresse, die Lease-Dauer, das VLAN und den Port in einer Bindungstabelle.
Wenden Sie die Zuordnungen an: Die Zuordnungstabelle wird von zugehörigen Funktionen wie der dynamischen ARP-Prüfung und dem IP-Source-Guard verwendet, um Datenverkehr zu verwerfen, der nicht mit einer bekannten Zuweisung übereinstimmt.

Beim Snooping werden weder Clients noch der legitime Server authentifiziert. Das Verhalten hinsichtlich Ratenbegrenzung, Einfügung der Option 82 und Persistenz der Bindungstabelle variiert je nach Switch-Hersteller und Konfiguration.

Warum DHCP-Snooping in Unternehmensnetzwerken wichtig ist

Ein unerwünschter DHCP-Server kann ein falsch konfigurierter Router, ein an eine Büro-Steckdose angeschlossener Heim-Gateway oder ein gezielter Angriff sein. Clients, die dessen Angebote annehmen, erhalten möglicherweise eine falsche Gateway- oder DNS-Serveradresse, was zu Ausfällen führen oder es einem Angreifer ermöglichen kann, den Datenverkehr umzuleiten und abzufangen. Da DHCP auf Broadcasts basiert und Clients das erste passende Angebot annehmen, kann sich das Netzwerk nicht darauf verlassen, dass Clients den richtigen Server auswählen.

DHCP-Snooping behebt dieses Problem auf der Zugriffsebene, wo es seinen Ursprung hat. Außerdem erstellt es die Bindungstabelle, auf die andere Schutzmechanismen der Schicht 2 angewiesen sind. Die dynamische ARP-Prüfung und der IP-Source-Guard nutzen diese Einträge, um ARP-Spoofing und gefälschte Quelladressen zu blockieren, sodass eine einzige, korrekt gepflegte Tabelle mehrere Schutzmaßnahmen unterstützt.

Eine fehlerhafte Konfiguration führt zu eigenen Ausfällen. Wenn der Uplink zum eigentlichen Server oder Relay als nicht vertrauenswürdig eingestuft wird, werden legitime Angebote verworfen und Clients können keine Adressen erhalten. Wenn die Bindungstabelle nach einem Switch-Neustart verloren geht und nicht wiederhergestellt wird, können Schutzmechanismen, die darauf angewiesen sind, gültige Hosts blockieren. Hosts mit statischen Adressen benötigen manuelle Bindungs-Einträge, und bei Relay-Bereitstellungen ist eine einheitliche Behandlung der Option 82 über alle Switches hinweg erforderlich.

Ein Vergleich von DHCP-Snooping mit verwandten Begriffen

DHCP-Snooping vs. unerwünschter DNS-Server

DHCP-Snooping ist eine Switch-Funktion, die nicht autorisierte DHCP-Server blockiert, während ein betrügerischer DNS-Server ein nicht autorisierter Resolver ist, der Namensabfragen beantwortet und häufig von einem Angreifer installiert oder über einen betrügerischen DHCP-Server an Clients weitergeleitet wird. Was ist ein betrügerischer DNS-Server?

Attribute	DHCP snooping	Rogue DNS server
Type	Preventive control on a switch	Unauthorized server or threat
Protocol involved	DHCP	DNS
Where it acts	Access layer ports and VLANs	Anywhere clients can reach it
Relationship	Can stop clients from receiving a rogue DNS address in a DHCP offer	Can be delivered to clients through a rogue DHCP server

DHCP-Snooping vs. ACL (Access Control List)

DHCP-Snooping erkennt DHCP-Nachrichtentypen und verfolgt Leases in einer Bindungstabelle, während eine ACL Pakete anhand statischer Header-Felder wie Adressen und Ports abgleicht. Was ist eine ACL?

Attribute	DHCP snooping	ACL (Access Control List)
Awareness of DHCP	Inspects DHCP messages and tracks leases	Matches fixed header fields only
State	Builds a binding table	Stateless in its basic form
Configuration unit	Trusted and untrusted ports per VLAN	Ordered permit and deny rules

Häufige Probleme beim DHCP-Snooping

Wenn der Port zum DHCP-Server oder Relay nicht als vertrauenswürdig markiert ist, verwirft der Switch legitime Angebote und Bestätigungen. Clients können dann keine Adressen beziehen, häufig nur in VLANs, in denen Snooping erst kürzlich aktiviert wurde.

Wenn die Bindungstabelle ausschließlich im Arbeitsspeicher gehalten wird, wird sie bei einem Switch-Neustart gelöscht, und davon abhängige Funktionen können gültige Clients blockieren, bis diese sich neu registrieren. Das Speichern der Tabelle in einem persistenten Speicher – sofern dies von der Plattform unterstützt wird – verringert dieses Risiko.

Einige Switches fügen standardmäßig Relay-Informationen in Client-Anfragen ein. Wenn der vorgelagerte Relay-Server oder Server Pakete ablehnt, die diese Informationen ohne eine übereinstimmende Relay-Adresse enthalten, können Clients keine IP-Adresse beziehen. Passen Sie die Optionseinstellungen über den gesamten Switch- und Relay-Pfad hinweg an.

Geräte mit statischen Adressen erscheinen niemals in der Bindungstabelle. Wenn sich die ARP-Prüfung oder der Source Guard auf diese Tabelle stützen, wird deren Datenverkehr verworfen, sofern keine statischen Einträge hinzugefügt werden.

Eine niedrige DHCP-Paketratenbegrenzung an einem nicht vertrauenswürdigen Port kann dazu führen, dass dieser bei legitimen Spitzenbelastungen – beispielsweise wenn viele Clients gleichzeitig hochfahren – in einen fehlerbedingten Ausfallzustand versetzt wird. Der Port bleibt deaktiviert, bis er manuell oder durch einen Timer wiederhergestellt wird.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Kontaktieren Sie uns

Das intelligente Netzwerk

Was ist DHCP-Snooping?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DHCP-Snooping auf einen Blick

So funktioniert DHCP-Snooping

Warum DHCP-Snooping in Unternehmensnetzwerken wichtig ist

Ein Vergleich von DHCP-Snooping mit verwandten Begriffen

DHCP-Snooping vs. unerwünschter DNS-Server

DHCP-Snooping vs. ACL (Access Control List)

Häufige Probleme beim DHCP-Snooping

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Häufig gestellte Fragen zu DHCP-Snooping

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Verwandte Artikel