我在思科2928上做过DHCP snooping实验，貌似成功了，命令如下：
1、建立DHCP地址池（交换机作DHCP服务器时）
ip dhcp pool test
network 192.168.1.0 255.255.255.0
default-router 192.168.1.1
dns-server 202.103.224.68

2、DHCP SNOOPING
ip dhcp snooping
ip dhcp snooping vlan 10        //定义探测的VLAN
ip dhcp snooping database flash:dhcp-snooping.db  
//将绑定表保存在flash中，避免重启设备后重新绑定

3、ARP检测
ip arp inspection vlan 10
//定义作用的VLAN，它是根据dhcp snooping binding表做判断的
ip arp inspection validate src-mac dst-mac ip   
//侦测有效客户端须满足src-mac dst-mac ip 均无错

inter f0/1     //接主机
switch mode access
switch access vlan 10
ip arp inspection limit rate 100

inter g0/1    //接交换机
switchport trunk encapsulation dot1q
switchport mode trunk
ip dhcp snooping trust

将主机接到f0/1端口上，动态获取DHCP后，再手动修改主机IP，交换机就会提示非法的ARP地址，然后主机上不了网。