DHCP部署与安全

DHCP部署与安全

1.DHCP是动态主机配置协议，使用UDP协议工作，目的是获取相应的IP地址，可以动态分配IP地址，根据租约到期或者续约租期方式来管理IP地址的分配。

2.DHCP服务器住在67端口，DHCP客户端住在68端口

Client传送封包给Server时，源是UDP 68端口，目的是UDP 67端口

从Server传送给Client时，源是UDP 67端口，目的是UDP 68端口

3.DHCP工作过程

• 客户机向服务器发送DHCP_discover报文，申请IP。

• 服务器向客户端返回DHCP_OFFER报文，指定一个将要分配的IP。

• 客户机向服务器发送DHCP_REQUSET报文，请求这个IP。

• 服务器ping几次这个IP（通常为3次），若没有响应，则代表这个IP无人用，可以分配给客户机，之后向客户机发送DHCP_ACK报文，确认可以分配；若有响应，则代表有人用，会发送DHCP_NAK报文，拒绝分配。

• 若客户端收到DHCP_ACK，则发送一次免费的ARP，判断这个IP是否已被使用，没有则绑定这个IP；否则向服务器发送DHCP_DECLINE报文，拒绝这次分配，并重新执行第一步。 若收到DHCP_NAK，则直接重新执行第一步。

4.续约租期

• 当客户机IP地址已经用到50%的时间，续租一下，客户端会以单播形式向服务端发一个request包，服务器响应时会回应一个ACK包，重新约定一个时间。

• 若服务器无响应，客户机会继续使用地址，当使用到87.5%时，会在续租一次，同时以广播方式发送一个request，服务端收到后，会响应一个ACK包，重新约定一个时间。

• 若服务器还是没有响应，客户机就会直接使用到过期。

5.重新连接使用IP地址

客户端重新登陆网络时，可以不需要从第一步发送DISCOVER报文开始，可以直接发送REQUEST报文给服务器。

6.客户端主动释放IP地址

ipconfig -release //释放
ipconfig -renew   //重连

7.DHCP安全性

可能受到恶意DHCP服务器攻击（无法上网、或引导到外网，抓明文流量）、DHCP饥饿攻击（将IP地址全都用完）

措施：

• 设置适当租约时间：让IP地址不会长期被占用，减轻攻击的影响。

• 使用MAC地址过滤：因为一个MAC地址只可以租用一个IP，所以可以通过过滤MAC地址，允许已知地址租用来预防攻击，但需要管理员手动维护，对大型动态网络来说，难以管理。

• 限制客户端的IP分配：限制客户端所能获取的IP地址的数量，预防饥饿攻击。

• DHCP Snooping：嗅探，它确保只有受信任的端⼝可以响应DHCP请求，阻⽌未经授权的设备分配IP地址。

• 监控与警报：检测到异常获取IP的行为即使报警。

• 安全强化：保持系统和软件的最新状态，及时更新，减少已知漏洞被利用的机会。