配置防止DHCP报文泛洪攻击

操作步骤

1. 执行命令system-view，进入系统视图。
2. 配置限制DHCP报文的上送速率，可在系统视图、VLAN视图、BD视图或接口视图下执行。
   1. 执行命令vlan vlan-id，进入VLAN视图；或执行命令bridge-domain bd-id，进入BD视图；或执行命令interface interface-type interface-number，进入接口视图；或直接在系统视图下进行配置。
   2. 执行命令dhcp snooping rate-limit enable，使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能。

      缺省情况下，未使能对DHCP报文上送DHCP报文处理单元的速率进行检测功能。

      在VLAN视图下执行此命令，则对设备所有接口接收到的属于该VLAN的DHCP报文命令功能生效。

      在系统视图下执行命令dhcp snooping rate-limit enable vlan { vlan-id1 [ to vlan-id2 ] }&<1-10>，功能与在VLAN视图下执行命令dhcp snooping rate-limit enable相同。

   3. 执行命令dhcp snooping rate-limit rate，配置DHCP报文上送DHCP报文处理单元的最大允许速率。

      缺省情况下，全局DHCP报文上送DHCP报文处理单元的最大允许速率为100pps，VLAN、接口和BD下DHCP报文上送DHCP报文处理单元的最大允许速率为在系统视图下配置的值。

      在系统视图下执行命令dhcp snooping rate-limit vlan { vlan-id1 [ to vlan-id2 ] }&<1-10>，功能与在VLAN视图下执行命令dhcp snooping rate-limit rate相同。

3. （可选）配置告警功能，可在系统视图、BD视图或接口视图下执行。
   1. 执行命令interface interface-type interface-number，进入接口视图；或执行命令bridge-domain bd-id，进入BD视图；或直接在系统视图下进行配置。
   2. 执行命令dhcp snooping alarm rate-limit enable，使能当丢弃的DHCP报文数达到告警阈值时的告警功能。

      若在系统视图下执行该命令，则对设备所有的接口该命令功能生效。

      缺省情况下，未使能当丢弃的DHCP报文数达到告警阈值时的告警功能。

   3. 执行命令dhcp snooping alarm rate-limit threshold threshold，配置接口下被丢弃的DHCP报文的告警阈值。

      缺省情况下，全局被丢弃的DHCP报文的告警阈值为100packets，接口下被丢弃的DHCP报文的告警阈值为在系统视图下配置的值。

4. 执行命令commit，提交配置。