Site icon bintorosoft.com

DHCP Snooping: Switch-Sicherheit in Packet Tracer nachbauen

Red Snapper

DHCP Snooping ist eine zentrale Layer-2-Sicherheitsfunktion im Access-Layer: Der Switch unterscheidet zwischen „trusted“ Ports (dort darf ein legitimer DHCP-Server antworten) und „untrusted“ Ports (dort werden DHCP-Server-Antworten blockiert). Damit verhindern Sie Rogue-DHCP-Angriffe, bei denen ein Angreifer Clients falsche IPs, Gateways oder DNS-Server verteilt. In Packet Tracer können Sie das Prinzip praxisnah nachbauen: erst DHCP normal testen, dann DHCP Snooping aktivieren, Rogue-Server simulieren und die Wirkung verifizieren.

Was DHCP Snooping schützt

Ohne Schutz kann jeder Host im VLAN DHCP-Offers senden. Clients nehmen häufig das „erste“ Angebot an – damit kann ein Rogue-Server den gesamten Traffic umleiten (Man-in-the-Middle) oder den Zugriff komplett stören.

Was in Packet Tracer realistisch funktioniert (und was nicht)

Die grundlegende Logik „trusted vs. untrusted“ lässt sich in Packet Tracer gut trainieren. Je nach Switch-Modell/Packet-Tracer-Version kann die Tiefe der Snooping-Outputs (Bindings, Counters, Drops) variieren. Wenn ein bestimmter Show-Befehl nicht verfügbar ist, verifizieren Sie über das Verhalten der Clients (DHCP ja/nein) und Port-/VLAN-Konfiguration.

Lab-Setup: Legitimer DHCP-Server vs. Rogue DHCP

Für ein sauberes Übungslab verwenden Sie einen Switch, einen legitimen DHCP-Server (Router oder Server) und einen „Angreifer“-Host, der ebenfalls DHCP anbietet. Mindestens ein Client bezieht per DHCP eine Adresse.

IP-Plan (Beispiel VLAN10)

Subnetting-Kurzcheck

/24 = 255.255.255.0 , Hosts = 28 – 2 = 254

Schritt 1: VLAN und Access-Ports konfigurieren

Legen Sie VLAN10 an und weisen Sie die Ports für Client, Rogue und Uplink zum legitimen DHCP-Server zu. Für das Basislab reicht ein einzelnes VLAN.

VLAN10 anlegen

enable
configure terminal
hostname SW1
vlan 10
 name USERS
end
write memory

Access-Ports zuweisen (Beispiel)

enable
configure terminal

interface fastEthernet0/1

description PC1_CLIENT

switchport mode access

switchport access vlan 10

spanning-tree portfast

exit


interface fastEthernet0/2

description PC2_ROGUE

switchport mode access

switchport access vlan 10

spanning-tree portfast

exit


interface gigabitEthernet0/1

description UPLINK_TO_DHCP

switchport mode access

switchport access vlan 10

exit


end

write memory

Schritt 2: Legitimen DHCP-Server bereitstellen

Für schnelle Labs ist ein Router als DHCP-Server ideal. Konfigurieren Sie auf R1 eine IP im VLAN10 und einen DHCP-Pool. Danach stellen Sie PC1 auf DHCP und prüfen, ob er eine Adresse bekommt.

R1 als DHCP-Server (Beispiel)

enable
configure terminal
hostname R1

interface gigabitEthernet0/0

description VLAN10_TO_SW1

ip address 192.168.10.1 255.255.255.0

no shutdown

exit


ip dhcp excluded-address 192.168.10.1 192.168.10.20

ip dhcp pool VLAN10

network 192.168.10.0 255.255.255.0

default-router 192.168.10.1

dns-server 8.8.8.8

exit


end

write memory

PC1: DHCP beziehen und prüfen

ipconfig

Schritt 3: Rogue DHCP simulieren

Um den Angriff nachzustellen, konfigurieren Sie auf PC2 oder einem Server einen DHCP-Service im gleichen VLAN. In Packet Tracer gelingt das typischerweise am einfachsten mit einem Server-Gerät (DHCP-Service einschalten) oder einem Endgerät mit DHCP-Server-Funktion, falls verfügbar. Ziel ist: PC1 soll „falsche“ Werte erhalten oder DHCP wird instabil.

Schritt 4: DHCP Snooping aktivieren und Trusted-Port setzen

Aktivieren Sie DHCP Snooping auf dem Switch und beschränken Sie es auf VLAN10. Danach markieren Sie den Uplink zum legitimen DHCP-Server als trusted. Alle Access-Ports bleiben untrusted (Standard) und dürfen keine DHCP-Server-Antworten senden.

DHCP Snooping global und für VLAN10 aktivieren

enable
configure terminal
ip dhcp snooping
ip dhcp snooping vlan 10
end
write memory

Trusted-Port zum legitimen DHCP-Server setzen

enable
configure terminal
interface gigabitEthernet0/1
 ip dhcp snooping trust
end
write memory

Optional: Rate-Limit auf untrusted Ports (DoS-Schutz)

In der Praxis begrenzen Sie DHCP-Requests pro Sekunde auf untrusted Ports, um Flooding zu reduzieren. Für Labs reicht ein moderater Wert.

enable
configure terminal
interface range fastEthernet0/1 - 2
 ip dhcp snooping limit rate 15
end
write memory

Schritt 5: Verifikation – funktioniert DHCP nur noch „legitim“?

Nach Aktivierung sollte PC1 seine DHCP-Adresse zuverlässig vom legitimen Server erhalten. Rogue-DHCP-Angebote auf untrusted Ports werden verworfen. Verifizieren Sie sowohl über das Client-Verhalten als auch über Switch-Outputs.

Client-Test (PC1)

ipconfig
ping 192.168.10.1

Switch-Status prüfen

enable
show ip dhcp snooping
show ip dhcp snooping binding

Wenn ein Show-Befehl in Ihrer Packet-Tracer-Version fehlt

enable
show running-config | include dhcp snooping

Typische Fehler in DHCP-Snooping-Übungen

Wenn nach Aktivierung plötzlich „gar nichts mehr geht“, ist die Ursache fast immer ein falsch gesetzter Trusted-Port oder eine fehlende VLAN-Zuordnung. DHCP Snooping ist bewusst restriktiv: Ohne trusted Uplink blockt der Switch die legitimen DHCP-Antworten ebenfalls.

Fehler: DHCP funktioniert nach Aktivierung nicht mehr

Fehler: Rogue DHCP wirkt weiterhin

Fehler: IP Phones/PCs hinter einem Access-Port bekommen keine IP

Best Practices: DHCP Snooping „profi-like“ in Lernlabs einsetzen

Damit Ihr Lab reproduzierbar bleibt, setzen Sie klare Regeln für trusted Ports und dokumentieren Sie diese. In der Praxis sind trusted Ports typischerweise Uplinks Richtung Distribution/Core oder Ports zu legitimen DHCP-Servern.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version