DHCP部署与安全

1.DHCP作用

(Dynamic Host Configure Protocol)自动分配IP地址

2.DHCP相关概念

地址池/作用域：（IP、子网掩码、网关、DNS、租期），DHCP协议端口是67/68.

3.DHCP优点

减少工作量、避免IP冲突、提高地址利用率

4.DHCP原理

也称为DHCP租约过程，分为4步：

• 客户机发送DHCP Discovery广播包：客户机广播请求IP地址(包含客户机的MAC地址)
• 服务器响应DHCP Offer广播包：服务器提供的IP地址，但无子网掩码、网关等参数
• 客户机发送DHCP Request广播包：客户机选择IP（也可认为确认使用哪个IP）
• 服务器发送DHCP ACK广播包：服务器确认了租约，并提供网卡详细参数IP、掩码、网关、DNS、租期等。

5.DHCP续约

过了租期的50%后，客户机会再次发送DHCP Request包，如果服务器无响应，则继续使用并在87.5%再次发送DHCP Request包进行续约，若依然无响应，则释放IP地址，重新发送DHCP Discovery广播包来获取IP地址，当无任何服务器响应时，自动给自己分配一个169.254.x.x/16，此地址属于全球统一的无效地址，用于局域网临时通信。

租期的市场设定根据具体的场合情况而定，人流量频繁更换的尽量设置短一些，机房等场合尽量设长一些。

6.部署DHCP服务器

windows、linux、路由器、交换机等都可以作为DHCP服务器。

• 1.在win2008中打开服务管理器
• 2.配置静态IP
• 3.角色右击--新建角色--安装DHCP服务
• 4.安装好后，新建作用域
• 5.客户机设为自动获取IP 

注：在Virtual Box中客户机和DHCP服务器网络选用内部网络。在VM Ware中，由于VM为每个虚拟机分配一个虚拟DHCP服务器，因此客户机虚拟机获取的IP地址可能是由虚拟DHCP服务器分配的，所以需要关闭->打开虚拟网络编辑器，关闭DHCP服务即可。

客户机:
ipconfig /release 释放IP，与服务器解约
ipconfig /renew 有IP时，发送request续约，无IP时，发送discovery重新获取

与服务器解约的两种方式：

• ①ipconfig /release
• ②改为手动配置IP

DHCP地址保留：

 

为某个MAC地址保留固定的IP地址，当该用户获取IP时，为其分配指定的IP地址。 

另外在一个DHCP服务器上可以新建多个作用域

 

两种DHCP服务器攻击：

• 攻击服务器：修改自身mac，无限发送DHCP请求，使服务器资源耗尽
• 攻击客户机：模仿DHCP服务器，为客户机提供错误的DHCP服务（IP地址）

防御方法：

• 攻击服务器：管理型交换机做端口绑定，端口与MAC绑定
• 攻击客户机：管理型交换机拒绝特定端口提供DHCP服务包（除合法的DHCP服务器所在接口外，全部设置为禁止发送dhcp offer包）