关于pvlan+DAI的问题

挖土机

当前网络环境如下：
  1. 接入交换机：cisco2918、cisco2960
  2. 核心交换机：h3c7502
  3. 全网DHCP
需求如下：
  1. 防止私自搭建DHCP Server
  2. 防止用户手动设置IP
  3. 防止ARP攻击

解决方案：
  使用DHCP Snooping+DAI+PVLAN，因为cisco2918和cisco2960都不支持DAI技术，所以不能在接入层来控制用户手动设置IP地址，h3c7502支持DAI，所以DAI只能在核心层来做，这样可以防止手设IP的PC通过7502，但是不能防止其访问不经过7502的数据包。现在想采用PVLAN技术，因为cisco2918、2960和h3c7502都支持PVLAN技术，在接入层2981和2960开启port的protected技术，也就是为每一个port划分一个vlan，然后在7502上开启pvlan的互访控制，这样的话，所有接入层PC接入2918和2960的时候不能访问任何网络（即使处于同一vlan的pc），而只能访问7502，这样7502就能利用DAI技术来控制每一个port是否使用DHCP获取IP地址。因为现在没有环境，不知道这种方案行不行，忘各位指点一二，谢喽！