Добрый день.

Можно ли функцию DHCP snoop включить только для определенных вланов или хотя бы включить только на определенных портах (max_limit нельзя установить в 0)?
Оборудование dgs 3627g fw Build 2.82.B20 и des 3828 fw 4.61.B28.

DHCP Snooping будет работать только на тех портах, где включен IP-MAC-Binding
Так-же, в настройках портов IP-MAC-Binding можно указать параметр forward_dhcppkt disable

Опишу ситуацию.
главное здание
dgs 3324 -> dgs3627g (3,4 этаж) ->des3028 (на каждом этаже) -> абоненты проводные (влан 1) и dwl8500ap (точки влан 110, абоненты 120-129)
|------------> dgs3627g (1,2 этаж) ->des3028 (на каждом этаже) -> абоненты проводные (влан 1) и dwl8500ap (точки влан 110, абоненты 120-129)
|------------> dws3024L
|------------> dhcp сервер проводных абонентов
все корпуса
dgs 3324 (главное здание) -> des3828 -> des3028 -> абоненты проводные и dwl8500ap (точки влан 110, абоненты 120-129)
итак ... ip проводных абонентов привязан к этажам (точнее к номеру аудитории). и если абонент перенесет свой пк с одного этажа на другой то при выключенной функции dhcp_snoop пк абонента работать не будет из за impb, но в случае с dhcp_snoop пк получает ip адрес, свитч его прописывает и абонент продолжает спокойно работать, а этого быть не должно.
dhcp_snoop нужен для работы wifi сети, т.к. ноутбуки студентов прописывать никто не будет.
сейчас приходится проверять адрес отправителя на des3028 и резать те пакеты которые не принадлежат этажу.
проблемы бы не было если бы точки были подключены напрямую к dws3024L (des3828 в корпусе)... но это сделать физически невозможно т.к. большие расстояния


IP-MAC-Binding выключать нельзя

дшсп запросы запрещать нельзя ... нужно лишь запретить создавать записи ip-mac в определенном влане. dhcp-relay использовать так же не получается т.к. ip нужно выдать на основе мака клиента для основной сети, и на основе влан для wifi.

В итоге должно быть так:
абоненты, подключающиеся по WIFI должны работать в DHCP-Snoop
Проводные - не должны. Так?

именно так
impb настроен на 3627g

Ваша задача лекго и непринуждённо решается исследованием Option 82 на предмет влана и выдаче DHCP ответов только определённым вланам. DHCP-Relay

Либо, если использовать только DHCP-Local-Relay, отправлять ответы только тем абонентам, которые имеют запись Opt 82. Это можно настроить на самом свиче. Остальные в лес.

Не могу ничего сказать по поводу качества работы DHCP-Relay и DHCP-Local-Relay на 3627, однако на свичах доступа (3526 например) данная схема 100% реализуема.

Спасибо. Будем разбираться.