IT评测·应用市场-qidao123.com技术社区

标题: DHCP服务器与安全 [打印本页]

---

作者: 写过一篇    时间: 2025-3-5 14:13
标题: DHCP服务器与安全
DHCP服务器

DHCP（Dynamic Host Configuration Protocol） 是一种网络协议，用于动态分配 IP 所在和其他网络配置（如子网掩码、网关和 DNS 服务器）给网络中的设备，使它们可以或许正常通信。

---

DHCP 的主要功能

• 动态分配 IP 所在：
  
  
  
  • 自动为网络中的设备分配唯一的 IP 所在，避免手动配置。
    
  • 支持所在租期（Lease），到期后设备需续租或重新获取所在。
    
  
  
• 集中管理：
  
  
  
  • 通过 DHCP 服务器同一管理和分配网络配置参数。
    
  
  
• 减少辩论：
  
  
  
  • 确保每个设备分配的 IP 所在唯一，避免 IP 所在辩论。
    
  
  
• 灵活性：
  
  
  
  • 支持动态更新设备 IP 所在，适合移动设备频繁到场和离开的情况。
    
  
  

---

DHCP 的工作流程

DHCP 的工作分为四个主要阶段，称为 DORA：

• Discover（发现）：
  
  
  
  • 客户端设备发送广播请求，寻找可用的 DHCP 服务器。
    
  
  
• Offer（提供）：
  
  
  
  • DHCP 服务器相应客户端请求，提供一个可用的 IP 所在和相关配置信息。
    
  
  
• Request（请求）：
  
  
  
  • 客户端选择其中一个 DHCP 提供的所在，并发送请求确认使用该所在。
    
  
  
• ACK（确认）：
  
  
  
  • DHCP 服务器确认分配并关照客户端，可以开始使用该 IP 所在。
    
  
  

---

DHCP 的焦点配置

1. DHCP 服务器的配置项：

• IP 所在池（Range/Scope）：定义可分配的 IP 所在范围，例如 192.168.1.100 到 192.168.1.200。
  
• 子网掩码：如 255.255.255.0，用于定义子网的大小。
  
• 默认网关：客户端用于访问外部网络的路由器 IP。
  
• DNS 服务器：提供域名解析服务的 IP 所在。
  
• 租期（Lease Time）：IP 所在分配的有用时间，通常为 24 小时或更长。
  

2. DHCP 静态所在绑定：

• 绑定特定设备的 MAC 所在到一个固定的 IP 所在，确保设备始终获得相同的 IP 所在。
  

3. 清除所在范围：

• 从分配池中清除某些 IP 所在（如给服务器或打印机使用的固定所在）。
  

---

DHCP 的应用场景

• 家庭网络：
  
  
  
  • 家用路由器通常内置 DHCP 功能，自动为设备分配 IP 所在。
    
  
  
• 企业网络：
  
  
  
  • 用于为员工设备、IP 电话和无线设备动态分配 IP。
    
  
  
• 大型网络：
  
  
  
  • 企业或学校使用集中化的 DHCP 服务器进行高效管理。
    
  
  

---

DHCP 的优缺点

长处：

• 自动化管理：减少手动配置工作量，降低堕落概率。
  
• 灵活性：设备可以轻松到场或离开网络。
  
• 高效利用：自动接纳和重新分配 IP 所在，避免浪费。
  

缺点：

• 依赖 DHCP 服务器：假如 DHCP 服务器故障，网络设备可能无法获取 IP 所在。
  
• 安全性风险：未经授权的 DHCP 服务器（Rogue DHCP）可能导致网络配置被篡改。
  

---

安全发起

• 限定 DHCP 服务范围：
  
  
  
  • 配置路由器或交换机，确保 DHCP 服务只在需要的子网或 VLAN 内广播。
    
  
  
• 启用 DHCP Snooping：
  
  
  
  • 在网络交换机中启用 DHCP Snooping 功能，防止恶意 DHCP 服务器发送伪造的配置。
    
  
  
• 静态绑定关键设备：
  
  
  
  • 为关键服务器、路由器和打印机使用静态 IP 所在，避免因 DHCP 故障导致中断。
    
  
  
• 监控和日志记载：
  
  
  
  • 定期检查 DHCP 服务器日志，及时发现异常。
    
  
  

假如需要设置或优化 DHCP 服务，可以提供详细场景或题目，我会提供更详细的资助！
DHCP续约

DHCP续约（DHCP Renewal）是指当设备的 IP 所在租期（Lease Time）快要到期时，客户端向 DHCP 服务器请求延伸该 IP 所在的使用时间，以避免丢失网络毗连的过程。

---

DHCP 续约的工作原理

• 租期的划分：
  
  
  
  • DHCP 为每个分配的 IP 所在设置一个“租期”（Lease Time），例如 24 小时。
    
  • 租期的时间由 DHCP 服务器配置决定。
    
  
  
• 续约时机：
  
  
  
  • 客户端在租期到期前的一半时间（T1 时间）发起第一次续约请求。
    
  • 假如未成功续约，在租期的 87.5%（T2 时间）再次尝试。
    
  • 假如租期到期仍未续约成功，客户端将释放 IP 所在，并尝试重新获取新所在。
    
  
  
• 续约过程：
  
  
  
  • 客户端发送 DHCP REQUEST 消息，向 DHCP 服务器请求续期当前 IP 所在。
    
  • DHCP 服务器检查当前 IP 所在的可用性后，返回 DHCP ACK，确认续约成功。
    
  • 假如续约失败（如服务器不可用），客户端会等候 T2 时间再尝试。
    
  
  

---

DHCP 续约与重新获取的区别

• 续约（Renewal）：
  
  
  
  • 客户端保存当前 IP 所在，仅延伸租期。
    
  • 续约成功后，设备不会改变 IP 所在，网络毗连保持稳固。
    
  
  
• 重新获取（Rebinding）：
  
  
  
  • 假如租期到期，客户端会广播请求，尝试从任何可用的 DHCP 服务器获取新的 IP 所在。
    
  • 此过程可能导致 IP 所在更改。
    
  
  

---

续约失败的缘故原由

• DHCP 服务器不可用：
  
  
  
  • 服务器宕机或网络中断，导致无法相应续约请求。
    
  
  
• IP 所在辩论：
  
  
  
  • 当前 IP 所在被其他设备占用，导致续约失败。
    
  
  
• 租期配置过短：
  
  
  
  • 租期过短可能导致频繁续约，增加失败的概率。
    
  
  
• 网络配置错误：
  
  
  
  • 如 VLAN 配置错误、路由题目等，客户端无法正常与 DHCP 服务器通信。
    
  
  

续约失败分配IP

169.254.0.0/16（全球同一无效所在） 用于暂时通信

---

如何手动续约 IP 所在

在客户端设备上，可以手动触发 DHCP 续约：
Windows 体系：

• 打开命令提示符（CMD）。
  
• 释放当前 IP 所在：
  
  1. ipconfig /release

  复制代码
• 请求新 IP 所在（续约）：
  
  1. ipconfig /renew

  复制代码

Linux 体系：

• 重启网络服务（以 eth0 为例）：
  
  1. sudo dhclient -r eth0    # 释放当前 IP
  2. sudo dhclient eth0       # 请求新 IP

  复制代码

macOS 体系：

• 打开 体系设置 > 网络。
  
• 选择当前网络毗连，点击 高级 > TCP/IP > 使用 DHCP 获得新所在。
  

---

如何优化 DHCP 续约

• 调解租期时间：
  
  
  
  • 在 DHCP 服务器中，根据网络设备的活动情况调解租期。
    
    
    
    • 租期较短：适合频繁到场和离开的设备（如无线网络）。
      
    • 租期较长：适合固定设备（如打印机、服务器）。
      
    
    
  
  
• 启用冗余 DHCP 服务器：
  
  
  
  • 配置多个 DHCP 服务器，确保其中一台服务器故障时，客户端可以续约。
    
  
  
• 绑定静态 IP：
  
  
  
  • 对于关键设备（如服务器），使用静态绑定，避免续约失败导致中断。
    
  
  
• 优化网络通信：
  
  
  
  • 确保 DHCP 流量在网络中畅通，避免 VLAN、路由配置阻碍续约过程。
    
  
  

DHCP服务器摆设

要摆设一个DHCP服务器，可以选择合适的体系和软件，如 dnsmasq 或 isc-dhcp-server，以下是通用的摆设步调。

---

1. 安装 DHCP 服务器

在 Linux 上安装

• Debian/Ubuntu:
  
  1. sudo apt update
  2. sudo apt install isc-dhcp-server

  复制代码
• CentOS/RHEL:
  
  1. sudo yum install dhcp-server

  复制代码
• OpenWrt (内置 dnsmasq):
  OpenWrt 默认使用 dnsmasq，无需额外安装。
  

---

2. 配置 DHCP

ISC DHCP Server 配置

编辑配置文件 /etc/dhcp/dhcpd.conf：

1. # 定义子网和地址池
2. subnet 192.168.1.0 netmask 255.255.255.0 {
3.     range 192.168.1.100 192.168.1.200;  # 分配的地址范围
4.     option routers 192.168.1.1;         # 网关地址
5.     option domain-name-servers 8.8.8.8, 8.8.4.4;  # DNS 服务器
6.     option domain-name "example.local"; # 域名
7.     default-lease-time 600;             # 默认租约时间 (秒)
8.     max-lease-time 7200;                # 最大租约时间 (秒)
9. }

复制代码

配置完毕后，启动服务：

1. sudo systemctl start isc-dhcp-server
2. sudo systemctl enable isc-dhcp-server

复制代码

Dnsmasq 配置 (常用于轻量级体系)

在 OpenWrt 或小型服务器上配置 dnsmasq，修改 /etc/dnsmasq.conf 或 OpenWrt 的 /etc/config/dhcp：

1. # 启用 DHCP 服务
2. dhcp-range=192.168.1.100,192.168.1.200,12h
3. dhcp-option=3,192.168.1.1  # 默认网关
4. dhcp-option=6,8.8.8.8      # DNS 服务器

复制代码

重启 dnsmasq 服务：

1. sudo systemctl restart dnsmasq

复制代码

---

3. 配置网络接口

确保 DHCP 服务监听正确的网络接口。
在 /etc/default/isc-dhcp-server（ISC DHCP）中，指定接口：

1. INTERFACES="eth0"

复制代码

对于 dnsmasq，监听配置可以在 /etc/dnsmasq.conf 中修改：

1. interface=eth0

复制代码

---

4. 检查防火墙规则

确保 UDP 端口 67 和 68 未被阻止：

1. sudo ufw allow 67/udp
2. sudo ufw allow 68/udp

复制代码

---

5. 验证配置

• 检查 DHCP 服务运行状态：
  
  1. sudo systemctl status isc-dhcp-server

  复制代码
  或
  
  1. sudo systemctl status dnsmasq

  复制代码
• 验证客户端是否正确获取 IP 所在：
  
  1. ip a

  复制代码
• 查看日志：
  
  1. tail -f /var/log/syslog | grep dhcp

  复制代码

---

6. 常见题目解决

• 所在辩论： 确保所在池不包罗固定分配的 IP。
  
• 租约逾期： 检查 default-lease-time 和 max-lease-time 是否公道。
  
• 多网卡情况： 确保 DHCP 服务监听正确的接口。
  
• 防火墙阻断： 开放须要的 UDP 端口。
  

---

假如是生产情况，发起配置静态分配或绑定 MAC 所在。
DHCP攻击与防御

DHCP攻击主要包括 DHCP Starvation（耗尽攻击） 和 Rogue DHCP Server（伪造服务器攻击） 两种类型。以下先容常见攻击和防御措施。

---

1. DHCP 攻击类型

1.1 DHCP Starvation（耗尽攻击）

攻击者通过伪造大量虚伪 MAC 所在，不停发送 DHCP 请求，耗尽 DHCP 服务器的 IP 所在池，导致合法客户端无法获取 IP 所在。
1.2 Rogue DHCP Server（伪造服务器攻击）

攻击者设置一个伪造的 DHCP 服务器，在网络中发送虚伪的 DHCP 相应。合法客户端可能被分配错误的 IP 所在、网关或 DNS，进而被重定向到恶意服务器。

---

2. DHCP 防御措施

2.1 针对 DHCP Starvation 攻击

• 启用 DHCP Snooping（DHCP嗅探）
  
  
  
  • 在支持 DHCP Snooping 的交换机上，配置信任端口（允许 DHCP 服务器流量）和非信任端口（限定客户端流量）。
    
  • 示例配置（以 Cisco 交换机为例）：
    
    1. ip dhcp snooping
    2. ip dhcp snooping vlan 1
    3. interface GigabitEthernet0/1
    4.   ip dhcp snooping trust

    复制代码
  • 非信任端口会丢弃超出速率限定的 DHCP 请求。
    
  
  
• 限定每个端口的 MAC 所在数量（Port Security）
  
  
  
  • 在交换机上限定每个端口的 MAC 所在数量，防止伪造大量 MAC 所在：
    
    1. switchport port-security
    2. switchport port-security maximum 2
    3. switchport port-security violation restrict

    复制代码
  
  
• 缩小 DHCP 所在池范围
  
  
  
  • 将所在池限定为网络中实际需要的范围，减少被攻击者耗尽的可能性。
    
  
  
• 监控和报警
  
  
  
  • 使用网络监控工具（如 Wireshark）监控 DHCP 流量，发现异常活动。
    
  
  

---

2.2 针对 Rogue DHCP Server 攻击

• 启用 DHCP Snooping
  
  
  
  • DHCP Snooping 不但可以防止 Starvation 攻击，还能丢弃非信任端口上的 DHCP 相应，从而阻止伪造服务器。
    
  
  
• 配置防火墙规则
  
  
  
  • 在路由器或防火墙上限定 DHCP 数据包的泉源，只允许合法 DHCP 服务器的流量通过。
    
  
  
• 静态 IP 分配
  
  
  
  • 对关键设备（如服务器）设置静态 IP，避免依赖 DHCP。
    
  
  
• 使用 VLAN 隔离网络
  
  
  
  • 将差异部门或子网的设备隔离到差异的 VLAN 中，减少 Rogue DHCP Server 的影响范围。
    
  
  

---

3. 工具与技能支持

• 攻击工具
  
  
  
  • 工具如 Yersinia 和 DHCPig 可以用来模拟 DHCP 攻击，便于测试网络防御：
    
    1. yersinia -I

    复制代码
  
  
• 防御工具
  
  
  
  • 网络设备厂商（如 Cisco、HPE）的交换机通常支持 DHCP Snooping。
    
  • 在 Linux 体系中，可以使用防火墙规则限定 DHCP 数据包：
    
    1. iptables -A INPUT -p udp --sport 67:68 --dport 67:68 -s <合法DHCP服务器IP> -j ACCEPT
    2. iptables -A INPUT -p udp --sport 67:68 --dport 67:68 -j DROP

    复制代码
  
  

---

4. 总结

• 针对 DHCP Starvation：启用 DHCP Snooping、限定端口 MAC 数量、监控流量。
  
• 针对 Rogue DHCP Server：启用 DHCP Snooping、配置防火墙规则、使用 VLAN 隔离。
  
• 定期检查网络日志，快速定位异常 DHCP 活动是确保网络安全的重要手段。
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

---

欢迎光临 IT评测·应用市场-qidao123.com技术社区 (https://dis.qidao123.com/)

Powered by Discuz! X3.4