关于pvlan+DAI的问题

挖土机

当前网络环境如下：\r\n  1. 接入交换机：cisco2918、cisco2960\r\n  2. 核心交换机：h3c7502\r\n  3. 全网DHCP\r\n需求如下：\r\n  1. 防止私自搭建DHCP Server\r\n  2. 防止用户手动设置IP\r\n  3. 防止ARP攻击\r\n\r\n解决方案：\r\n  使用DHCP Snooping+DAI+PVLAN，因为cisco2918和cisco2960都不支持DAI技术，所以不能在接入层来控制用户手动设置IP地址，h3c7502支持DAI，所以DAI只能在核心层来做，这样可以防止手设IP的PC通过7502，但是不能防止其访问不经过7502的数据包。现在想采用PVLAN技术，因为cisco2918、2960和h3c7502都支持PVLAN技术，在接入层2981和2960开启port的protected技术，也就是为每一个port划分一个vlan，然后在7502上开启pvlan的互访控制，这样的话，所有接入层PC接入2918和2960的时候不能访问任何网络（即使处于同一vlan的pc），而只能访问7502，这样7502就能利用DAI技术来控制每一个port是否使用DHCP获取IP地址。因为现在没有环境，不知道这种方案行不行，忘各位指点一二，谢喽！