Блокирование чужих dhcp в сети. ACL или DHCP Server Screening?

Question

[Stensed]

Здравствуйте. У меня простой вопрос, на который не могу найти ответ.
Ситуация, нужно заблокировать чужие dhcp в сети.
Оборудование длинк с поддержкой ACL.
Вопрос. Есть ли разница в эффективности этих двух "инструментов" при защите от чужих дхцп в сети?
Первый вариант это:
create access_profile ip udp src_port_mask 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id 1 ip udp src_port 67 port 24 permit
config access_profile profile_id 1 add access_id 2 ip udp src_port 67 port 1 deny

И второй вариант:
config filter dhcp_server ports 1 state enable
config filter dhcp_server add permit ports 1:24

Comments

[Дмитрий]

Вы бы хоть описали что ща оборудование и где вы собираетесь блокировать dhcp? Так же неплохо было бы увидеть схему сети.

[Maksim]

С Длинк не знаком, но по сути отрабатывать второй вариант мне кажется проще для проца.

Первый надо анализировать пакеты IP что от куда куда какой порт...во втором все проще (при условии что второй вариант работает)

[Stensed]

Дмитрий: оборудование des 3200. Схема сети я-длинк-часть тупых свичей-люди.

[Stensed]

Maksim: спасибо за ответ. Вопрос конечно глупый, но если использовать вланы, указание номера портов не измениться же? Ограничение пойдет на все дхцп во всех вланах?

[Maksim]

Stensed: в принципе нечего не мешает проверить :)

[Stensed]

Maksim: в целом согласен, но думал вдруг в практике были подобные случаи. Спасибо.

[Дмитрий]

Stensed: Тогда вопрос: от каких чужих dhcp Вы собралиль бороться? Если в порт тупого свича включат dhcp сервер, то все на этом свиче будут слышать его. Или ещё вариант — юзер на своём рабочем компе поднимает dhcp server или просто в порт своего компьютера включает другой (этот вариант похож на предидущий)

Answer 1

[mikes]

Эти инструменты по сути идентичны, только первое занимает место в общей таблице правил, а второе нет, ну и как доп плюшка, snmp trap есть на это дело.

Answer 2

[Дмитрий]

Вам нужно что бы коммутаторы доступа, в которые включены пользователи, умели dhcp snooping

Answer 3

[Дмитрий Максименко]

Оба варианта работают одинаково.
А именно: второй вариант после активации делает те же самые ACL (вы в списке ACL потом можете посмотреть, что функция добавила правила). Просто + ко всему еще и логирование есть о том, что фильтранулся левый DHCP сервер.