DHCP部署与安全（一）

😐 uthor:朋小锋

一、DHCP的作用

自动分配IP地址（Dynamic Host Configure Protocol）

二、DHCP的优点

避免IP冲突、提高地址利用率、减少工作量

三、DHCP的概念

DHCP的协议端口号是UDP 67/68
地址池/作用域：子网掩码、IP地址、DNS、租期、网关

四、DHCP的原理

😐 朋小锋（Discovery）：谁有IP地址、子网掩码和网关，给小锋打包一份带走呗~
🥇DHCP服务器①号（Offer）：我有IP地址，但没有子网掩码和网关。
🥈DHCP服务器②号（Offer）：我也有IP地址~
🥉DHCP服务器③号（Offer）：我也有我也有，而且我离你最近！
😐 朋小锋（Request）：@DHCP服务器③号 老兄，那就你了！
🔤旁白：DHCP服务器①号，DHCP服务器②号垂头丧气的离开了~

当客户机选择DHCP服务器的Offer包时，其他服务器则不再向该客户机发送Offer包

🥉DHCP服务器③号（ACK）：选我就对了，IP、掩码、网关、DNS、租期都帮你打包好了。
😐 朋小锋：谢谢了，兄弟~

当客户机收到DHCP服务器的ACK广播包时，与该服务器连接成功

DHCP原理也称为DHCP租约过程，分为4个步骤：

1）客户机发送DHCP Discovery广播包
客户机广播请求IP地址（也包括客户机的MAC地址）
2）服务器响应DHCP Offer广播包
服务器响应提供的IP地址（但没有子网掩码、网关等参数）
3）客户机发送DHCP Request广播包
客户机选择IP（也可认为确认使用哪一个IP地址）
4）服务器发送DHCP ACK广播包
服务器确定了租约，并提供网卡详细参数IP地址、子网掩码、网关、DNS、租约等

五、DHCP的租约

当DHCP租约剩下50%的时候，客户机会向服务器发送Request广播包，请求服务器续约，这时如果服务器无响应，客户机将继续使用该租约，直到租约再剩下87.5%时，客户机会再次向服务器发送Request广播包，进行续约，如果还是无响应，这时客户机会释放IP地址，并同时对外发送Discovery广播包，重新获取IP地址，当没有服务器响应时，客户机会自动为自己分配一个169.254开头子网掩码为/16的IP地址，该IP地址为全球统一的无效地址，用于临时性的内网通讯

六、地址保留

😐 朋小锋：@王小慧 你用DHCP服务器分配给我的IP地址，我不太喜欢，能不能给我分配个好意头的IP地址
👼 王小慧：老板当然可以呀，用“地址保留”就可以啦~168.168.168.168，老板这是我给您分配的IP地址，您看满意吗
😐 朋小锋：very goog！

指定MAC地址，动态为其对应的客户机分配指定的IP地址

七、部署DHCP服务器

1）首先服务器的IP地址必须固定
2）其次安装DHCP服务器的插件
3）再者是新建DHCP服务器的作用域以及作用域的选项
4）激活DHCP服务器

😐 朋小锋：你说你听得一脸懵逼？没关系，下节朋小锋会手把手教你部署DHCP服务器哟~

八、DHCP备份

备份服务器的所有作用域到指定的文件夹（也可自己创建文件夹），当服务器死机后，可以使用备份文件在其他DHCP服务器上进行还原所有配置

九、DHCP相关命令

ipconfig /release    #释放IP（取消租约，或者改为手动配置IP，也可以释放租约)
ipconfig /renew    #重新获取IP（有IP时，发送request续约，无IP时发送Discovery重新获取IP)

十、DHCP攻击与防御

防渣案例一

😐 朋小锋（Discovery）：谁有IP地址、子网掩码和网关，给小锋打包一份带走呗~
🎱 黑客伪装DHCP服务器（Offer）：我有IP地址，我离你最近，我最爱你~
😐 朋小锋（Request）：那就你了，宝贝♥，打包带走~
🎱 黑客伪装DHCP服务器（ACK）：好的包你满意~IP、掩码、网关、DNS、租期都帮你打包好了
😐 朋小锋：mua~

伪装DHCP服务器攻击：黑客将自己部署成DHCP服务器，为客户机提供非法的IP地址

⚓️管理型交换机：朋老弟，她是渣女，别信她！

防御：在管理型交换机端口上做动态的MAC地址绑定

防赖案例二

🎱黑客（Discovery）： 谁有IP地址、子网掩码和网关，给我打包一份带走呗~
🥇DHCP服务器①号（Offer）：我有IP地址，但没有子网掩码和网关。
🎱黑客（Request）：就你了就你了，我不挑
🥇DHCP服务器①号（ACK）：好的包你满意~IP、掩码、网关、DNS、租期都帮你打包好了
🎱黑客（Request）：我没收到
🥇DHCP服务器①号（ACK）：IP、掩码、网关、DNS、租期，重新帮你打包一份，发给你了
🎱黑客（Request）：我没收到
…循环N遍后
🎱黑客（Request）：我没收到

攻击DHCP服务器：频繁的发送伪装DHCP请求，直到将DHCP地址池资源耗尽

⚓️管理型交换机：服务器老弟，她是无赖，让我来会会她！

防御：在管理型交换机上，除合法的DHCP服务器所在接口外，全部设置为禁止发送dhcp offer包

随时来疯，我是小锋