DHCP snooping
Función de switch que filtra las respuestas DHCP procedentes de puertos no confiables. Protege contra un servidor DHCP no autorizado que reparte puertas de enlace o DNS maliciosos para interceptar el tráfico de los clientes. Estándar en switches de nivel empresarial.
Configuración: se declaran ciertos puertos como "trusted" (donde están los servidores DHCP legítimos) y el resto como "untrusted" (puertos de cliente). Las respuestas DHCP que llegan por un puerto untrusted se descartan. De paso, el switch construye una tabla de bindings IP↔MAC↔puerto para aceptar solo concesiones legítimas. Esa tabla alimenta Dynamic ARP Inspection (DAI): el switch valida cada ARP contra ella, bloqueando el ARP spoofing. IP Source Guard va un paso más allá y aplica el filtrado por IP/MAC en cada puerto. Es material clásico del temario CCNP de Cisco y debe configurarse por VLAN.