Запрет dhcp от абонента

[avel-nars]

Доброго времени суток. Интересует один вопрос.

Используем коммутаторы eltex mes2124, настроено получение ip абонентами по опции 82 протокола dhcp - все работает отлично, никаких нареканий нет. Но иногда бывает, что абоненты по незнанию или по каким либо другим причинам включают роутер со своей стороны Lan портом в сторону коммутатора. Т.е. в итоге этот роутер начинает выдавать локальные ip адреса из подсети 192.168.0.0/24 любому устройству в абонентской сети, которое в этот момент делает запрос на получение ip адреса от провайдера. В итоге они получают ip от этого роутера. Так вот, вопрос в том, есть ли возможность настроить абонентский порт на коммутаторе так, чтобы при появлении такого неавторитетного dhcp трафика со стороны абонента на абонентском порту, порт бы блокировался. В идеальном случае, запретить dhcp трафик от абонента таким образом, чтобы протокол dhcp для абонента работал как обычно в нормальном режиме, но при появлении неавторизованного dhcp сервера со стороны абонента, порт абонента блокировался бы.

[avel-nars]

Возможно ли это решить только включением ip dhcp snooping в нужном vlan и указанием доверенного порта на коммутаторе?

[Александр Селезнев]

Включение dhcp snooping позволит избежать данной ситуации. Dhcp запросы будут отправляться только на доверенные порты.
Если же вы хотите запретить сеть 192.168.0.0/24 на порту абонента, то можете повесить acl, запрещающий эту сеть.

[avel-nars]

Спасибо за информацию. Все понятно.

[avel-nars]

Такого acl достаточно?:

ip access-list extended PRIVATE_IP_ADDRESS
deny tcp 192.168.0.0 0.0.255.255 any any any
deny udp 192.168.0.0 0.0.255.255 any any any

interface GigabitEthernet 1/0/1
service-acl input PRIVATE_IP_ADDRESS

Для запрещения диапазона частных ip 192.168.0.0/16?

[Голубцов Дмитрий]

Этим перекроете весь трафик.

Попробуйте так:
deny ip any any 192.168.0.0 0.0.255.255 any
deny ip any any any 192.168.0.0 0.0.255.255
permit ip any any any any

[avel-nars]

Благодарю за помощь.