DHCP服务器与安全
DHCP服务器DHCP（Dynamic Host Configuration Protocol） 是一种网络协议，用于动态分配 IP 所在和其他网络配置（如子网掩码、网关和 DNS 服务器）给网络中的设备，使它们可以或许正常通信。
DHCP 的主要功能
[*]动态分配 IP 所在：
[*]自动为网络中的设备分配唯一的 IP 所在，避免手动配置。
[*]支持所在租期（Lease），到期后设备需续租或重新获取所在。
[*]集中管理：
[*]通过 DHCP 服务器同一管理和分配网络配置参数。
[*]减少辩论：
[*]确保每个设备分配的 IP 所在唯一，避免 IP 所在辩论。
[*]灵活性：
[*]支持动态更新设备 IP 所在，适合移动设备频繁到场和离开的情况。
DHCP 的工作流程
DHCP 的工作分为四个主要阶段，称为 DORA：
[*]Discover（发现）：
[*]客户端设备发送广播请求，寻找可用的 DHCP 服务器。
[*]Offer（提供）：
[*]DHCP 服务器相应客户端请求，提供一个可用的 IP 所在和相关配置信息。
[*]Request（请求）：
[*]客户端选择其中一个 DHCP 提供的所在，并发送请求确认使用该所在。
[*]ACK（确认）：
[*]DHCP 服务器确认分配并关照客户端，可以开始使用该 IP 所在。
DHCP 的焦点配置
1. DHCP 服务器的配置项：
[*]IP 所在池（Range/Scope）：定义可分配的 IP 所在范围，例如 192.168.1.100 到 192.168.1.200。
[*]子网掩码：如 255.255.255.0，用于定义子网的大小。
[*]默认网关：客户端用于访问外部网络的路由器 IP。
[*]DNS 服务器：提供域名解析服务的 IP 所在。
[*]租期（Lease Time）：IP 所在分配的有用时间，通常为 24 小时或更长。
2. DHCP 静态所在绑定：
[*]绑定特定设备的 MAC 所在到一个固定的 IP 所在，确保设备始终获得相同的 IP 所在。
3. 清除所在范围：
[*]从分配池中清除某些 IP 所在（如给服务器或打印机使用的固定所在）。
DHCP 的应用场景
[*]家庭网络：
[*]家用路由器通常内置 DHCP 功能，自动为设备分配 IP 所在。
[*]企业网络：
[*]用于为员工设备、IP 电话和无线设备动态分配 IP。
[*]大型网络：
[*]企业或学校使用集中化的 DHCP 服务器进行高效管理。
DHCP 的优缺点
长处：
[*]自动化管理：减少手动配置工作量，降低堕落概率。
[*]灵活性：设备可以轻松到场或离开网络。
[*]高效利用：自动接纳和重新分配 IP 所在，避免浪费。
缺点：
[*]依赖 DHCP 服务器：假如 DHCP 服务器故障，网络设备可能无法获取 IP 所在。
[*]安全性风险：未经授权的 DHCP 服务器（Rogue DHCP）可能导致网络配置被篡改。
安全发起
[*]限定 DHCP 服务范围：
[*]配置路由器或交换机，确保 DHCP 服务只在需要的子网或 VLAN 内广播。
[*]启用 DHCP Snooping：
[*]在网络交换机中启用 DHCP Snooping 功能，防止恶意 DHCP 服务器发送伪造的配置。
[*]静态绑定关键设备：
[*]为关键服务器、路由器和打印机使用静态 IP 所在，避免因 DHCP 故障导致中断。
[*]监控和日志记载：
[*]定期检查 DHCP 服务器日志，及时发现异常。
假如需要设置或优化 DHCP 服务，可以提供详细场景或题目，我会提供更详细的资助！
DHCP续约
DHCP续约（DHCP Renewal）是指当设备的 IP 所在租期（Lease Time）快要到期时，客户端向 DHCP 服务器请求延伸该 IP 所在的使用时间，以避免丢失网络毗连的过程。
DHCP 续约的工作原理
[*]租期的划分：
[*]DHCP 为每个分配的 IP 所在设置一个“租期”（Lease Time），例如 24 小时。
[*]租期的时间由 DHCP 服务器配置决定。
[*]续约时机：
[*]客户端在租期到期前的一半时间（T1 时间）发起第一次续约请求。
[*]假如未成功续约，在租期的 87.5%（T2 时间）再次尝试。
[*]假如租期到期仍未续约成功，客户端将释放 IP 所在，并尝试重新获取新所在。
[*]续约过程：
[*]客户端发送 DHCP REQUEST 消息，向 DHCP 服务器请求续期当前 IP 所在。
[*]DHCP 服务器检查当前 IP 所在的可用性后，返回 DHCP ACK，确认续约成功。
[*]假如续约失败（如服务器不可用），客户端会等候 T2 时间再尝试。
DHCP 续约与重新获取的区别
[*]续约（Renewal）：
[*]客户端保存当前 IP 所在，仅延伸租期。
[*]续约成功后，设备不会改变 IP 所在，网络毗连保持稳固。
[*]重新获取（Rebinding）：
[*]假如租期到期，客户端会广播请求，尝试从任何可用的 DHCP 服务器获取新的 IP 所在。
[*]此过程可能导致 IP 所在更改。
续约失败的缘故原由
[*]DHCP 服务器不可用：
[*]服务器宕机或网络中断，导致无法相应续约请求。
[*]IP 所在辩论：
[*]当前 IP 所在被其他设备占用，导致续约失败。
[*]租期配置过短：
[*]租期过短可能导致频繁续约，增加失败的概率。
[*]网络配置错误：
[*]如 VLAN 配置错误、路由题目等，客户端无法正常与 DHCP 服务器通信。
续约失败分配IP
169.254.0.0/16（全球同一无效所在） 用于暂时通信
如何手动续约 IP 所在
在客户端设备上，可以手动触发 DHCP 续约：
Windows 体系：
[*] 打开命令提示符（CMD）。
[*] 释放当前 IP 所在：
ipconfig /release
[*] 请求新 IP 所在（续约）：
ipconfig /renew
Linux 体系：
[*] 重启网络服务（以 eth0 为例）：
sudo dhclient -r eth0 # 释放当前 IP
sudo dhclient eth0 # 请求新 IP
macOS 体系：
[*]打开 体系设置 > 网络。
[*]选择当前网络毗连，点击 高级 > TCP/IP > 使用 DHCP 获得新所在。
如何优化 DHCP 续约
[*]调解租期时间：
[*]在 DHCP 服务器中，根据网络设备的活动情况调解租期。
[*]租期较短：适合频繁到场和离开的设备（如无线网络）。
[*]租期较长：适合固定设备（如打印机、服务器）。
[*]启用冗余 DHCP 服务器：
[*]配置多个 DHCP 服务器，确保其中一台服务器故障时，客户端可以续约。
[*]绑定静态 IP：
[*]对于关键设备（如服务器），使用静态绑定，避免续约失败导致中断。
[*]优化网络通信：
[*]确保 DHCP 流量在网络中畅通，避免 VLAN、路由配置阻碍续约过程。
DHCP服务器摆设
要摆设一个DHCP服务器，可以选择合适的体系和软件，如 dnsmasq 或 isc-dhcp-server，以下是通用的摆设步调。
1. 安装 DHCP 服务器
在 Linux 上安装
[*] Debian/Ubuntu:
sudo apt update
sudo apt install isc-dhcp-server
[*] CentOS/RHEL:
sudo yum install dhcp-server
[*] OpenWrt (内置 dnsmasq):
OpenWrt 默认使用 dnsmasq，无需额外安装。
2. 配置 DHCP
ISC DHCP Server 配置
编辑配置文件 /etc/dhcp/dhcpd.conf：
# 定义子网和地址池
subnet 192.168.1.0 netmask 255.255.255.0 {
range 192.168.1.100 192.168.1.200;# 分配的地址范围
option routers 192.168.1.1; # 网关地址
option domain-name-servers 8.8.8.8, 8.8.4.4;# DNS 服务器
option domain-name "example.local"; # 域名
default-lease-time 600; # 默认租约时间 (秒)
max-lease-time 7200; # 最大租约时间 (秒)
}
配置完毕后，启动服务：
sudo systemctl start isc-dhcp-server
sudo systemctl enable isc-dhcp-server
Dnsmasq 配置 (常用于轻量级体系)
在 OpenWrt 或小型服务器上配置 dnsmasq，修改 /etc/dnsmasq.conf 或 OpenWrt 的 /etc/config/dhcp：
# 启用 DHCP 服务
dhcp-range=192.168.1.100,192.168.1.200,12h
dhcp-option=3,192.168.1.1# 默认网关
dhcp-option=6,8.8.8.8 # DNS 服务器
重启 dnsmasq 服务：
sudo systemctl restart dnsmasq
3. 配置网络接口
确保 DHCP 服务监听正确的网络接口。
在 /etc/default/isc-dhcp-server（ISC DHCP）中，指定接口：
INTERFACES="eth0"
对于 dnsmasq，监听配置可以在 /etc/dnsmasq.conf 中修改：
interface=eth0
4. 检查防火墙规则
确保 UDP 端口 67 和 68 未被阻止：
sudo ufw allow 67/udp
sudo ufw allow 68/udp
5. 验证配置
[*] 检查 DHCP 服务运行状态：
sudo systemctl status isc-dhcp-server
或
sudo systemctl status dnsmasq
[*] 验证客户端是否正确获取 IP 所在：
ip a
[*] 查看日志：
tail -f /var/log/syslog | grep dhcp
6. 常见题目解决
[*]所在辩论： 确保所在池不包罗固定分配的 IP。
[*]租约逾期： 检查 default-lease-time 和 max-lease-time 是否公道。
[*]多网卡情况： 确保 DHCP 服务监听正确的接口。
[*]防火墙阻断： 开放须要的 UDP 端口。
假如是生产情况，发起配置静态分配或绑定 MAC 所在。
DHCP攻击与防御
DHCP攻击主要包括 DHCP Starvation（耗尽攻击） 和 Rogue DHCP Server（伪造服务器攻击） 两种类型。以下先容常见攻击和防御措施。
1. DHCP 攻击类型
1.1 DHCP Starvation（耗尽攻击）
攻击者通过伪造大量虚伪 MAC 所在，不停发送 DHCP 请求，耗尽 DHCP 服务器的 IP 所在池，导致合法客户端无法获取 IP 所在。
1.2 Rogue DHCP Server（伪造服务器攻击）
攻击者设置一个伪造的 DHCP 服务器，在网络中发送虚伪的 DHCP 相应。合法客户端可能被分配错误的 IP 所在、网关或 DNS，进而被重定向到恶意服务器。
2. DHCP 防御措施
2.1 针对 DHCP Starvation 攻击
[*] 启用 DHCP Snooping（DHCP嗅探）
[*] 在支持 DHCP Snooping 的交换机上，配置信任端口（允许 DHCP 服务器流量）和非信任端口（限定客户端流量）。
[*] 示例配置（以 Cisco 交换机为例）：
ip dhcp snooping
ip dhcp snooping vlan 1
interface GigabitEthernet0/1
ip dhcp snooping trust
[*] 非信任端口会丢弃超出速率限定的 DHCP 请求。
[*] 限定每个端口的 MAC 所在数量（Port Security）
[*] 在交换机上限定每个端口的 MAC 所在数量，防止伪造大量 MAC 所在：
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
[*] 缩小 DHCP 所在池范围
[*]将所在池限定为网络中实际需要的范围，减少被攻击者耗尽的可能性。
[*] 监控和报警
[*]使用网络监控工具（如 Wireshark）监控 DHCP 流量，发现异常活动。
2.2 针对 Rogue DHCP Server 攻击
[*]启用 DHCP Snooping
[*]DHCP Snooping 不但可以防止 Starvation 攻击，还能丢弃非信任端口上的 DHCP 相应，从而阻止伪造服务器。
[*]配置防火墙规则
[*]在路由器或防火墙上限定 DHCP 数据包的泉源，只允许合法 DHCP 服务器的流量通过。
[*]静态 IP 分配
[*]对关键设备（如服务器）设置静态 IP，避免依赖 DHCP。
[*]使用 VLAN 隔离网络
[*]将差异部门或子网的设备隔离到差异的 VLAN 中，减少 Rogue DHCP Server 的影响范围。
3. 工具与技能支持
[*] 攻击工具
[*] 工具如 Yersinia 和 DHCPig 可以用来模拟 DHCP 攻击，便于测试网络防御：
yersinia -I
[*] 防御工具
[*] 网络设备厂商（如 Cisco、HPE）的交换机通常支持 DHCP Snooping。
[*] 在 Linux 体系中，可以使用防火墙规则限定 DHCP 数据包：
iptables -A INPUT -p udp --sport 67:68 --dport 67:68 -s <合法DHCP服务器IP> -j ACCEPT
iptables -A INPUT -p udp --sport 67:68 --dport 67:68 -j DROP
4. 总结
[*]针对 DHCP Starvation：启用 DHCP Snooping、限定端口 MAC 数量、监控流量。
[*]针对 Rogue DHCP Server：启用 DHCP Snooping、配置防火墙规则、使用 VLAN 隔离。
[*]定期检查网络日志，快速定位异常 DHCP 活动是确保网络安全的重要手段。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]