防止私接小路由器
电脑获取到IP地址不是DHCP服务器的IP地址段，导致整个公司网络瘫痪，这些故障现象通常80%原因是私接小路由器导致的，以下防止私接小路由器措施。
一、交换机配置DHCP Sooping
DHCP snooping是一种DHCP安全特性，用于防止非法设备获取DHCP分配的IP地址。在一个带有多个交换机的网络中，可以配置交换机以便它们对DHCP数据包进行监听和记录。
配置思路：用户终端接口开启DNCP Snooping功能，配置信任接口只接收DHCP服务器报文，这样用户终端即使接私接小路由，也无法发送DHCP报文。
配置参考如下：
1、全局开启DHCP
[Sw1] dhcp enable
2、使能用户侧接口的DHCP Snooping功能，假设3口为用户终端端口
[Sw1] interface ge 1/0/3
[Sw1-ge1/0/3] dhcp snooping enable
3、配置信任接口，假设该口接DHCP服务器，以2口为例
[Sw1] interface ge 0/0/2
[SSw1-ge0/0/2] dhcp snooping trusted
二、交换机配置端口安全
端口安全是根据MAC地址对网络流量进行控制和管理的安全功能，该功能不仅将MAC地址与端口绑定，还可以限制端口学到的MAC地址的数量。端口安全功能可以阻止非法用户通过本端口和交换机通信，从而增强网络的安全性。
思路：用户终端侧接口开启终端安全并只允许学习一个MAC地址，发现私接小路由器后，接口学习到2个MAC地址，就自动shutdown，减少对现网影响。
配置参考如下：
1、在用户终端侧端口配置端口安全
[Sw1] interface ge1/0/3
[Sw1-ge1/0/3] port-security enable
2、限制端口学习MAC地址数量：
[Sw1-ge1/0/3] port-security mac-address sticky
3、安全MAC地址限制数量为1
[Sw1-ge1/0/3] port-security max-mac-num 1
4、发现非法接入设备，直接关闭端口并告警
[Sw1-ge1/0/3]port-security protect-action shutdown
三、交换机配置ACL访问控制
ACL（Access Control List，访问控制列表）是一种基于包过滤的访问控制技术，主要用于对网络流量进行控制和管理。ACL限制非法DHCP服务器接入的思路：DHCP 客户端使用源端口68发送数据包，服务端使用源端口67发送数据包，可限制用户终端接口67端口。
配置思路：通过ACL限制用户终端接口发送DHCP报文，进而即使私接小路由器也不会对现网产生影响。
配置参考如下：
1、配置ACL 3000
[SW1]acl 3000
2、配置规则，拒绝UDP 67端口
[SW1-acl-adv-3000]rule 5 deny udp source-port eq 67
[SW1-acl-adv-3000]rule 10 permit ip
3、ACL规则在用户终端接口应用
[SW1-acl-adv-3000]port-group group-member ge1/0/3 to ge1/0/4
[SW1-acl-adv-3000]traffic-filter inbound acl 3000
四、交换机配置Vlan隔离
VLAN 隔离技术根据特定的策略，把物理上形成的局域网（Local Area Network，LAN）划分成不同的逻辑子网，把数据链路层广播报文隔离在逻辑子网之内，形成各自的广播域，每个逻辑子网就是一个“虚拟的局域网（Virtual LAN）”每个接入至支持 VLAN 的交换机的终端设备，都属于一个特定的 VLAN，不同 VLAN 中的终端设备无法直接通过数据链路层通信。VLAN 技术有效限制了广播报文的传输范围，一定程度上抑制了广播风暴，提高了网络的安全性。
思路：将终端用户接口互相隔离，防止非法DHCP服务器对现网其他终端造成影响。
配置思路：开启vlan隔离，即使用户终端接口私接小路由器，也不会影响其他终端。
参考配置如下：
1、进入接口视图,以3口举例
[SW1]interface ge1/0/3
2、配置VLAN 10为隔离VLAN，只允许VLAN 10的数据通过，假设用户终端vlan 10
[SW1-ge1/0/3] port isolate enable vlan 10