单位有多台华为交换机，核心交换机s9300系列，各楼栋交换机S5700。其中设置2台DHCP服务器一主一备，配置Dhcp-relay。

最近发现有人在办公室误将网线插入办公室的家用路由器lan口，并且还开启了家用路由器dhcp，造成该网段电脑收到的都是非法的路由器dhcp信息，无法正常上网，对办公影响很大。

经查找资料，发现启用交换机的DHCP Snooping功能，直接屏蔽掉那个非法路由器就可以了。
dhcp snooping功能开启后，默认所有端口为非信任口，即忽略掉所有端口发送的dhcp报文。为了能正常使用网络，我们只需要把上联DHCP服务器的交换机24口（按自己实际情况）设置为信任端口即可。设置完经测试完美达到目的。

配置命令如下：

1. 开启DHCP Snooping命令（不用大写）
2. 所有端口必须设置为dhcp snooping enable。
3. 再进入上联DHCP交换机端口24口(trunk)
4. 同时配置trunk命令及允许VLAN网段
5. 设置交换机24口为信任DHCP端口，其余均默认为非信任端口,dhcp snooping trust 。
6. 保存

system-view
dhcp enable
dhcp snooping enable 
 
port-group 1
group-member g0/0/1 to g0/0/24
dhcp snooping enable 

interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow vlan 1 to 4 
dhcp snooping trust 
quit
quit
save

注意：以上配置命令需要在接入层交换机上设置，核心层交换机一般不需要配置见下图。

DHCP SNOOPING交换机示意图