Glosario de seguridad
¿Qué es el «DHCP snooping»?
El «DHCP snooping» es un control de seguridad de capa 2 que filtra los mensajes DHCP en un conmutador para impedir que servidores DHCP no autorizados asignen direcciones. Clasifica los puertos como de confianza o no de confianza y crea una tabla de enlaces que asocia las direcciones MAC de los clientes con las direcciones IP asignadas, las VLAN y los puertos.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.DHCP snooping is a Layer 2 security control that filters DHCP messages on network switches to block unauthorized DHCP servers from distributing incorrect gateway or DNS settings to clients. The feature classifies switch ports as trusted or untrusted, inspects DHCP packets, and builds a binding table that records client MAC addresses, leased IP addresses, VLANs, and ports for use by related security mechanisms like Dynamic ARP Inspection and IP Source Guard. Proper configuration—marking only uplink ports as trusted, maintaining persistent binding tables, and ensuring consistent option 82 handling in relay environments—is critical to prevent legitimate clients from losing connectivity while maintaining protection against rogue DHCP server attacks.
Cómo funciona el «DHCP snooping»
Un conmutador con la función de snooping DHCP activada inspecciona los paquetes DHCP en las VLAN en las que está habilitada dicha función. Un administrador marca cada puerto como de confianza o no de confianza, y el conmutador aplica reglas diferentes a cada uno.
- Designar puertos de confianza: el administrador marca como de confianza los puertos que conducen a servidores DHCP o agentes de retransmisión legítimos. Todos los demás puertos, normalmente los que dan a los dispositivos cliente, siguen sin ser de confianza.
- Filtrar mensajes del servidor: El conmutador descarta los mensajes del servidor DHCP, como ofertas y acuses de recibo, que llegan a un puerto no de confianza. Esto impide que un servidor no autorizado en un puerto de acceso responda a los clientes.
- Inspeccionar los mensajes de los clientes: en los puertos no fiables, el conmutador puede comprobar que la dirección de hardware del cliente en una solicitud DHCP coincida con la dirección MAC de origen de la trama. Esto limita algunos ataques de agotamiento que utilizan direcciones falsificadas.
- Crear la tabla de enlaces: cuando un cliente recibe una concesión válida, el conmutador registra la dirección MAC del cliente, la dirección IP asignada, la duración de la concesión, la VLAN y el puerto en una tabla de enlaces.
- Aplicar las asociaciones: La tabla de asociaciones es utilizada por funciones relacionadas, como la inspección dinámica de ARP y la protección de origen IP, para descartar el tráfico que no coincida con una concesión conocida.
El «snooping» no autentica a los clientes ni al servidor legítimo. Comportamientos como la limitación de velocidad, la inserción de la opción 82 y la persistencia de la tabla de enlaces varían según el fabricante del conmutador y la configuración.
Problemas habituales con el DHCP snooping
Si el puerto dirigido al servidor DHCP o al agente de retransmisión no está marcado como de confianza, el conmutador descarta las ofertas y los acuses de recibo legítimos. En ese caso, los clientes no consiguen obtener direcciones, a menudo solo en las VLAN en las que se acaba de habilitar el snooping.
Si la tabla de enlaces se almacena únicamente en memoria, al reiniciar el conmutador se borra y las funciones que dependen de ella pueden bloquear a clientes válidos hasta que se renueven. Almacenar la tabla en un soporte persistente, siempre que la plataforma lo admita, reduce este problema.
Algunos conmutadores insertan información de retransmisión en las solicitudes de los clientes de forma predeterminada. Cuando el servidor o la retransmisión de nivel superior rechaza los paquetes que la transportan sin una dirección de retransmisión coincidente, los clientes no consiguen obtener una asignación. Harmonice la configuración de esta opción en todo el conmutador y la ruta de retransmisión.
Los dispositivos con direcciones estáticas nunca aparecen en la tabla de enlaces. Cuando la inspección ARP o Source Guard se basan en esa tabla, su tráfico se descarta a menos que se añadan entradas estáticas.
Un límite de tráfico de paquetes DHCP demasiado bajo en un puerto no fiable puede hacer que este entre en un estado de desactivación por error durante picos de tráfico legítimos, como cuando muchos clientes se inician a la vez. El puerto permanece inactivo hasta que se recupera manualmente o mediante un temporizador.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…