Появление чужого неавторизованного DHCP-сервера в локальной сети:

• dhcp,warning dhcp-alert: rogue DHCP server detected on interface bridge: <MAC> - <IP>
• Пользователи внезапно получают чужие IP-адреса, шлюзы и DNS (например, подсети 192.168.1.0/24 или 192.168.0.0/24).
• Сетевой трафик клиентов перенаправляется на неавторизованный узел (угроза атаки Man-in-the-Middle).

1. Настройка системы оповещения о Rogue DHCP (DHCP Alert)

Функция DHCP Alert в RouterOS сканирует широковещательный сегмент и отправляет тревогу при обнаружении чужих пакетов DHCP Offer:

/ip dhcp-server alert add interface=bridge-lan valid-server=XX:XX:XX:XX:XX:XX disabled=no alert-timeout=60s on-alarm=":log error \"ROGUE DHCP DETECTED!\""

(В качестве valid-server указывается реальный MAC-адрес легитимного сервера MikroTik).

2. Включение аппаратной защиты DHCP Snooping на Bridge

Функция DHCP Snooping блокирует неавторизованные ответы DHCP на уровне L2 коммутации:

# 1. Включаем DHCP Snooping на самом Bridge
/interface bridge set [find name="bridge-lan"] dhcp-snooping=yes

# 2. Помечаем порт легитимного DHCP-сервера как доверенный (Trusted)
/interface bridge port set [find interface="ether1"] trusted=yes

# 3. Все остальные клиентские порты остаются со значением trusted=no (Untrusted)

3. Изоляция и блокировка порта нарушителя

Найдите порт, за которым находится источник чужих пакетов (по MAC-адресу из лога):

/interface bridge host print where mac-address=XX:XX:XX:XX:XX:XX

Отключите сбойный порт или заблокируйте DHCP трафик через Bridge Filters:

/interface bridge filter add chain=forward in-interface=ether5 mac-protocol=ip ip-protocol=udp dst-port=67-68 action=drop comment="Block Rogue DHCP UDP 67/68"