DHCP的部署与安全

• 什么是DHCP——（dynamic host configuration protoco）动态主机配置协议
  • 作用：动态分配ip
  • 原理：客户机发送DHCP discovery广播包，其中包含了本机的Mac地址（请求ip）；服务器响应DHCP offer广播包，其中包含ip地址（提供ip）；客户机发送DHCP request 广播包（选择ip）；服务器发送DHCP ack广播包（确定租约，提供网卡详细参数ip、掩码、DNS、租期等）
  • 地址池/作用域
    • ip；子网掩码；网关；租期（ip地址可用时间）；DHCP协议端口（67/68）
      • 租期：租期过50%是客户端会发送DHCP request包续约，如果服务器无响应，客户端继续使用ip，当租期过87.5%时再次发送DHCP request包续约，如果还没有服务器响应，则释放掉ip。重新获取ip，如果此时还没有服务器响应则客户端自动给自己分配169.254.x.x的ip地址
  • 优点：减少工作量、避免ip冲突、提高地址复用率
  • 部署DHCP服务器（部署环境Windows2003）
    • ip地址固定
    • 安装DHCP服务插件
      • 双击光驱》》选择网络服务》》详细信息》》DHCP》》下一步
      • 安装完成后查看DHCP端口是否打开（netstat -an/67、68）
    • 配置服务器ip地址（用于确定局域网网段）
    • 新建作用域（地址池）并设置ip地址范围（地址池大小）
    • 设置租约时长（客户机稳定可设置较长租期）
    • 设置网关（10.1.1.254）
    • 设置DNS服务器（通常由运营商提供）
    • WINS服务器的配置（略过）
  • 地址保留
    • 需求：客户机每次自动获取的ip地址是不变的
    • 原理：对指定的MAC地址，固定动态分配ip地址
    • 实现步骤：查看客户的ip地址详情
  • 客户机验证：
    • ipconfig /release：释放ip
    • ipconfig /renew：重新获取
  • 选项优先级：
    • 作用域选项优先级>服务器选项
  • DHCP攻击与防御：
    • 攻击DHCP服务：频繁的发送伪装的DHCP请求，指导将服务器的地址池资源耗尽。
    • 防御：在交换机（管理型）的端口上做动态MAC地址绑定
    • 伪装DHCP服务器攻击：黑客将自己部署为DHCP服务器，为客户机提交非法ip地址。
    • 防御：在交换机上（管理型），除合法的DHCP服务器所在接口外，进制发送DHCP offer包