DHCP原理及DHCP服务器的防攻击手段

一、DHCP简介

1、产生背景：网络增大，手工配置存在很多问题【人员素质要求高、容易出错、灵活性差、IP地址资源利用率低、工作量大，不利于管理等】
2、DHCP相对于静态手工配置的优点【效率高、灵活性强、易于管理等】

二、DHCP的原理与配置

（一）、DHCP的基本工作过程【发现阶段、提供阶段、请求阶段、确认阶段】如下图：

【发现阶段】：在发现阶段，DHCP客户端会以广播的方式给自己所在在广播域中的DHCP服务器都发送一个DHCP Discover 报文，目的是寻找网络中的DHCP Server，并表示自己需要获得一个IP地址
【提供阶段】：是网络中的DHCP Server响应所收到的DHCP Discover 报文，把准备提供的IP地址携带在DHCP Offer 报文中，并以单播的方式发送给DHCP 客户端（注意这里Offer 报文中携带的IP地址客户端还不能直接使用）
【请求阶段】：DHCP客户端在收到的所有Offer 报文中选择接受第一个到达客户端的Offer（通常情况下选择第一个接收到的Offer） ，并向相应的DHCP Server 以广播的方式发送DHCP Request 报文，表示自己愿意接受该Offer （在这个DHCP Request 报文中携带有R上的DHCP Server 的标识—称为Server Identifier，表示DHCP Client 只愿意接受R上的Offer，R也是通过分析这个标识来确定DHCP Client 只愿意接受自己的Offer
而该二层广播域中其他的DHCP服务器也会收到DHCP Client 所发出的DHCP Request 报文，它们则通过分析这个标识来确定DHCP Client 已经拒绝接受自己的Offer）
【确认阶段】：如果在提供阶段所携带的IP地址能正常地分配给DHCP Client 使用的话，那么R会以单播的方式给DHCP Client 发送一个DHCP Ack 报文，此时DHCP Client 获取地址成功；但是如果因为一些原因，在提供阶段所携带的IP地址不能分配给DHCP Client 的话，这时R则会给DHCP Client 发送一个DHCP Nak 报文，而当DHCP Client 收到R的DHCP Nak 报文后，则表示获取IP地址失败，需要重新进入到发现阶段。

当DHCP Client 正常获得IP地址后，如下图：

从DHCP Server 获取的IP地址有一个租约时间，DHCP协议规定租约时间缺省不少于1小时，通常情况下，租约时间缺省值为2