交換器上有人偷接DHCP伺服器

一般來說DHCP是沒有驗證機制的，所以電腦接上區域網路，發個廣播封包要DHCP，只要有人回應我就相信他，這也變成公司的困擾，由於3C設備越來越多，有人只要偷拿家用AP到公司網路裝起來沒設定好可能就會亂發DHCP。



我們這個網段是 192.168.4.0/24 ，可是公司員工卻拿到 192.168.1.0/24 的網段，明顯是有人在亂發DHCP，首先最重要的是找到DHCP伺服器IP是多少，比方說上圖就是 192.168.1.1 。



我們到用戶電腦上先找到亂發DHCP伺服器的mac address ，結果是 00-17-16-08-25-c4。



一般來說，Core Switch上有所有vlan，所有流量交換都會經過他，所以我們先用 show mac address-table dymanic 去查詢 mac address 表示的格式，結果為 aaaa.bbbb.cccc ，所以我們再用 show mac address-table | include 0017.1608.25c4 去查這個mac是從哪一port學到的，結果為 Fa0/24。



通常Core Switch只會接各樓層回來的Switch，因此使用者直接接在Core Switch的機率很低，我們查詢CDP得知 Fa 0/24 接的是 2F的Core Switch，再用 show cdp entry 2F-Core ，去查詢這台Switch 的IP，再用telnet連過去。



再一次查詢流程，得知這個mac address是從 Fa1/0/23 port 學到的，然後用CDP得知他是跟 2F-Edge Switch接在一起，然後Switch的IP為192.168.1.22。



我們連到 2F-Edge 得知這個mac address 是從 G0/1 port 學到的，但是這port是access port vlan 2，又沒有學到CDP，所以應該是接一般電腦設備的，因此我們可以先shutdow讓他不會亂發dhcp，最後再去現場處理是亂接什麼設備。



回到一般使用者電腦，重開機再要一次dhcp，順利拿到正確的 192.168.4.0/24 IP，也可以上網。

結論：
拿到錯誤的DHCP第一步先看他的DHCP伺服器IP為多少，然後用mac address去查接在哪一port，從core switch先查起，最後先shutdown讓其他同事可以拿到正確的dhcp ip，但這也只是治標不治本，終究要在switch上設至dhcp snooping，讓只有信任的port才可以發DHCP，而不是隨便接一port都可以發DHCP。