Tóm tắt nhanh: DHCP Snooping trên switch Ruijie ngăn chặn tấn công DHCP Spoofing và Starvation. Cấu hình gồm bật global, khai báo trusted port cho uplink, giới hạn rate trên port access và kiểm tra binding.

Hướng dẫn cấu hình DHCP Snooping trên switch Ruijie (CLI)

DHCP Snooping dùng để làm gì?

DHCP Snooping là tính năng bảo mật tầng 2 giúp switch lọc các gói tin DHCP không hợp lệ, ngăn chặn tấn công DHCP Spoofing và DHCP Starvation. Nếu một thiết bị không đáng tin cậy tự ý chạy DHCP server giả mạo (rogue DHCP), nó có thể cấp IP sai, đổi gateway, hoặc chặn DNS — gây mất kết nối toàn bộ segment.

DHCP Snooping giải quyết vấn đề này bằng cách:

Xác định port nào là trusted (cổng kết nối lên DHCP server thật)
Giám sát và chặn các gói DHCP OFFER/ACK từ port untrusted
Xây dựng bảng DHCP Snooping binding tự động (MAC-IP-port-VLAN)

Ngoài ra, DHCP Snooping là tiền đề để bật IP Source Guard và Dynamic ARP Inspection.

Cấu hình từng bước như thế nào?

Bước 1: Enable DHCP Snooping global

Ruijie(config)# ip dhcp snooping

Mặc định DHCP Snooping tắt trên toàn bộ switch. Lệnh này bật ở chế độ global.

Bước 2: Bật DHCP Snooping trên từng VLAN cần bảo vệ

Ruijie(config)# ip dhcp snooping vlan 10,20,30

Có thể ghi dải: vlan 10-30. Chỉ những VLAN được khai báo mới được giám sát.

Bước 3: Khai báo trusted port

Ruijie(config)# interface GigabitEthernet 0/1
Ruijie(config-if)# ip dhcp snooping trust

Chỉ định port kết nối đến DHCP server thật (uplink về core switch hoặc router) là trusted. Tất cả port còn lại mặc định là untrusted.

Bước 4: Giới hạn tốc độ DHCP

Ruijie(config-if)# ip dhcp snooping rate-limit 100

Giới hạn 100 gói DHCP mỗi giây trên port untrusted, giảm nguy cơ DHCP Starvation.

Bước 5: Kiểm tra trạng thái

Ruijie# show ip dhcp snooping
Ruijie# show ip dhcp snooping binding

Lệnh show ip dhcp snooping hiển thị trạng thái tính năng, VLAN đang bật, trusted port. Lệnh show ip dhcp snooping binding xuất danh sách binding đã học — dùng để debug khi user không lấy được IP.

Ví dụ cấu hình hoàn chỉnh ra sao?

Ruijie(config)# ip dhcp snooping
Ruijie(config)# ip dhcp snooping vlan 10,20,30
Ruijie(config)# interface GigabitEthernet 0/24
Ruijie(config-if)# ip dhcp snooping trust
Ruijie(config-if)# exit
Ruijie(config)# interface range GigabitEthernet 0/1-23
Ruijie(config-if-range)# ip dhcp snooping rate-limit 100

Lưu ý khi triển khai DHCP Snooping trên Ruijie

Không bật trusted trên port access — port cắm PC/máy in phải là untrusted.
Nếu mạng có DHCP relay qua nhiều VLAN, port trunk nối về router DHCP relay phải là trusted.
Tương thích phần mềm: các dòng Ruijie RG-S2900/RG-S5300/RG-S5750 chạy RGOS 10.x/11.x đều hỗ trợ. Kiểm tra firmware nếu switch báo lệnh không tồn tại.
Clear binding khi thay đổi topology: dùng clear ip dhcp snooping binding nếu thay cáp hoặc chuyển user sang port khác.

DHCP Snooping kết hợp IP Source Guard

Sau khi DHCP Snooping đã chạy, bật IP Source Guard trên port access để chỉ cho phép lưu lượng từ đúng IP đã binding:

Ruijie(config)# interface GigabitEthernet 0/2
Ruijie(config-if)# ip verify source port-security

Tính năng này chặn ngay lập tức các gói tin có source IP không khớp với bảng DHCP Snooping.

Câu hỏi thường gặp về DHCP Snooping Ruijie

Switch Ruijie báo lệnh ip dhcp snooping không tồn tại, xử lý thế nào?

Kiểm tra firmware RGOS: dòng entry-level RG-S2900 chạy RGOS 10.x hỗ trợ đầy đủ. Nếu switch báo lệnh không tồn tại, cần nâng cấp firmware lên bản mới nhất từ Ruijie.

DHCP Snooping có ảnh hưởng đến hiệu năng switch không?

Không đáng kể. Tính năng này xử lý ở hardware ASIC trên các dòng Ruijie managed switch, không gây tải cho CPU trong điều kiện bình thường.

Có cần bật DHCP Snooping trên tất cả VLAN không?

Chỉ nên bật trên VLAN có kết nối user (access VLAN). VLAN quản lý (management) và VLAN trunk nội bộ không cần bật.

Cập nhật lần cuối: 13/10/2026 · Biên soạn: Đội ngũ kỹ thuật Wise Tech