Das lernst du
- Rogue DHCP und Starvation anhand von Wirkung und Befunden unterscheiden.
- Snooping, DAI und IP Source Guard mit ihren Grenzen bewerten.
Voraussetzungen: F03 · Mehrere Server und AngeboteF07 · Reservierungen und ClientidentitätF08 · VLANs und mehrere SubnetzeE03 · Relay-Architektur und Option 82
DHCPv4-Konfigurationen werden in vielen Netzen ohne kryptografische Serverauthentisierung angenommen. Ein falscher Anbieter kann deshalb gültig aussehende, aber schädliche Parameter liefern.
Der Switch entscheidet am Eingangsport
Grafik vergrößern
Bedrohungen und Beobachtungen
Rogue DHCP bedeutet: Ein unzulässiger Dienst bietet Konfiguration an, etwa ein falsches Gateway oder DNS. Ein schnelleres OFFER allein beweist keinen Angriff; entscheidend sind autorisierte Anbieter, Anschluss und die gelieferten Werte. Starvation versucht, die verfügbaren Vergabemengen durch viele Identitäten zu erschöpfen.
Eine hohe Leasezahl kann auch legitim durch Gäste oder MAC-Randomisierung entstehen. Untersuche Rate, Identitäten, Ports und Belegungsentwicklung. Praktische Versuche bleiben in einem isolierten virtuellen oder physischen Labor; für die Untersuchung reicht ein kontrollierter zweiter Anbieter, ein Lastangriff ist nicht erforderlich.
Schutzschichten
DHCP Snooping auf einem unterstützten Switch unterscheidet vertrauenswürdige Wege zu autorisierten Servern/Relays und untrusted Zugangsports. Unerlaubte Serverantworten können verworfen werden. Rate Limits begrenzen ausgewählten DHCP-Verkehr; zu niedrige Werte können legitime Wiederanläufe blockieren.
Die Snooping-Binding-Tabelle kann Dynamic ARP Inspection zur Prüfung von ARP-Zuordnungen und IP Source Guard zur Quellprüfung unterstützen. Statische Geräte, fehlende Bindings nach Neustart, Uplinks und Relaytopologien brauchen eigene Regeln. Trusted auf jedem Port würde die Schutzwirkung aufheben; falsches Misstrauen auf dem Serverweg kann DHCP lahmlegen.
Den Angriffsweg an der gelieferten Konfiguration erkennen
Ein unerlaubter DHCP-Anbieter muss keine ungültigen Pakete senden. Er kann formal plausible Adressen verteilen und dabei ein fremdes Gateway oder einen manipulierten Resolver eintragen. Der Client erhält dann eine funktionsfähig aussehende Konfiguration, deren Datenweg jedoch von der Planung abweicht. Die technische Prüfung umfasst deshalb Serverkennung, Anschlussherkunft und angebotene Parameter zusammen.
DHCP Snooping verschiebt die Durchsetzung an den Switch: Serverantworten dürfen nur über dafür vorgesehene vertrauenswürdige Wege eintreffen. Ein trusted Uplink ist aber nur dann sinnvoll, wenn dahinter tatsächlich kontrollierte Infrastruktur liegt. Wird ein Benutzerport versehentlich trusted, kann die Schutzannahme brechen; wird der legitime Serverweg untrusted, entsteht ein Verfügbarkeitsfehler. Beide Fehlkonfigurationen brauchen einen eigenen Test.
Bindings sind zustandsabhängige Sicherheitsdaten
Eine Snooping-Tabelle verknüpft beobachtete Zuordnungen mit einem Zugangskontext. Darauf aufbauende Prüfungen wie DAI können nach einem Neustart anders reagieren, wenn diese Daten fehlen. Statisch konfigurierte Geräte besitzen außerdem nicht automatisch ein durch DHCP gelerntes Binding. Ihr erlaubter Verkehr muss im jeweiligen Produkt gesondert berücksichtigt werden.
Ein guter Abnahmetest umfasst daher legitimen Erstbezug, Erneuerung, einen kontrollierten unerlaubten Anbieter, ein statisches Gerät und die Wiederaufnahme nach einem Switchneustart. Für Rate Limits wird zusätzlich ein realistischer gleichzeitiger Start betrachtet. Ein Grenzwert, der einzelne Tests besteht, kann beim Wiederanlauf eines ganzen Büros legitime Clients blockieren. Die Konfiguration muss zum erwarteten Betriebsverhalten passen.
Zwei Offers, nur eines autorisiert
- Am Client erscheinen Angebote von .20.10 und .10.50. Inventar und Switchportzuordnung zeigen: .10.50 ist ein unerlaubter Testserver an einem Zugangsport.
- Snooping für das Client-VLAN aktivieren, nur den nachgewiesenen Server-/Relayweg als trusted markieren. Access-Port untrusted belassen.
- Neu beziehen: Das autorisierte Angebot muss weiterhin funktionieren; der unerlaubte Antwortweg muss blockiert werden. Zähler und Bindings kontrollieren.
- Bei statischen Geräten DAI/IP Source Guard nicht blind aktivieren. Erst eine passende, plattformspezifisch unterstützte Zuordnung und einen Rückfallplan vorbereiten.
Ergebnis: Sicherheitsabnahme prüft sowohl die blockierte unerlaubte Aktion als auch die weiter funktionierende legitime Nutzung.
Typische Fehler
- Snooping ist keine universelle Ende-zu-Ende-Authentisierung.
- Rate Limits müssen zur Anschlusstopologie passen.
- DAI und IP Source Guard sind eigene Funktionen, keine Synonyme für DHCP Snooping.
Praktisch anwenden
Offizielle Quellen
Versionsbezüge geprüft am 14. Oktober 2026. Produktkonfigurationen werden im jeweiligen isolierten Labor validiert.
- Cisco · DHCP Snooping ↗Catalyst 9300, IOS XE 17.13.x; Kommandos nicht auf beliebige Switches übertragen
- Cisco · Dynamic ARP Inspection ↗Catalyst 9300, IOS XE 17.5.x; Prinzip und Plattformgrenzen
- RFC 2131 · DHCPv4 ↗Protokollbasis, insbesondere §§ 3 und 4; März 1997