DHCP snooping
信頼されていないポートからのDHCP応答を遮断するスイッチの機能。悪意あるゲートウェイやDNSを配って通信を盗み見る不正DHCPサーバーへの対策で、企業向けスイッチでは標準である。
設定は、正規のDHCPサーバーがいるポートを「trusted」、クライアント側のポートを「untrusted」と宣言するだけである。untrustedポートから来たDHCP応答は破棄される。同時にスイッチはIP・MAC・ポートの対応を記録するDHCP snoopingバインディングテーブルを作り、正規のリースだけを通す。このテーブルはDynamic ARP Inspection（DAI）の根拠にもなり、ARPスプーフィングを防ぐ。IP Source Guardを組み合わせれば、ポート単位でIP/MACの一致まで強制できる。CCNPの定番科目で、VLANごとに有効化する必要がある。