网络安全学习篇9_DHCP部署与安全

上一篇博客：文件共享服务器

---

目录：

DHCP的介绍

部署DCHP服务器

DHCP攻击与防御

其他相关知识

---

开始：

一、DHCP的介绍

1.1作用

百度百科：

DHCP(Dynamic Host ConfigurationProtocol，动态主机配置协议)是一个局域网的网络协议

使用UDP协议工作， 主要有两个用途:

给内部网络或网络服务供应商自动分配IP地址
给用户或者内部网络管理员作为对所有计算机作中央管理的手段，

在RFC 2131中有详细的描述。DHCP有3个端口

其中UDP67和UDP68为正常的DHCP服务端口，分别作为DHCP Server和DHCP Client的服务端口;


546号端口用于DHCPv6 Client，而不用于DHCPv4，是为DHCP failover服务，这是需要特别开启的服务，DHCP failover是用来做"双机热备"的。

(Dynamic Host Configure Protocol）自动分配IP地址

Dynamic动态的

拓展：

DDNS(Dynamic Domain Name Server)是动态域名服务的缩写。前面的D也是Dynamic。
DDNS是将用户的动态IP地址映射到一个固定的域名解析服务上，用户每次连接网络的时候客户端程序就会通过信息传递把该主机的动态IP地址传送给位于服务商主机上的服务器程序，服务器程序负责提供DNS服务并实现动态域名解析。

1.2相关概念

地址池/作用域：（IP、子网掩码、网关、DNS、租期），DHCP协议端口是UDP 67/68

1.3优点

减少工作量、避免IP冲突、提高地址利用率

1.4原理

也成为DHCP租约过程，分为4个步骤：（可以形象化租客向多个房东租房子）
1）客户机发送DHCP Discovery广播包 ---->（租客通过广播像房东喊话：谁有房子）
 
  客户机广播请求IP地址（包含客户机的MAC地址）
  
2）服务器响应DHCP Offer广播包 --->（多个房东听见后就回复租客一个简单的房子信息，当然回复存在先后顺序）
 
  服务器响应提供的IP地址（但无子网掩码、网关等参数）
  
3）客户机发送DHCP Request广播包 --->（租客选定要租的房子，一般按照房东回复得快慢程度选定）
 
  客户机选择IP（也可认为确认使用哪个IP）
  
4）服务器发送DHCP ACK广播包---> （成功租出去房子的房东把房间钥匙，信息给租客，其他房东这时也会发一个信息：你不租，我还不准备租给你呢（骂骂咧咧发出拒绝的信息.gif））
 
  服务器确定了租约，并提供网卡详细参数IP、掩码、网关、DNS、租期等 

1.5续约

当50%过后，客户机会再次发送DHCP Request包，进行续约

如服务器无响应，则继续使用并在87.5%再次 发送DHCPRequest包，进行续约

如仍然无响应，并释放IP地址，及重新发送DHCP Discovery广播包来获取IP地址

当无任何服务器响应时，自动给自己分配一个169.254.x.x/16,属于全球统一无效地址，用于临时内网通信！

二、部署DCHP服务器

0）windows、Linux、路由器、三层交换机等都可以做DHCP服务器

下面以WIndows2003为例

1）IP地址固定（服务器必须固定IP地址）

可以设置win2003和winxp在虚拟机上虚拟网络编辑器设为相同

2）安装DHCP服务插件

找到windows下的自带服务软件

开始----》管理工具—》找不到DHCP服务器—》需要安装—》从我的电脑下点击光驱下的iso---->点击

然后弹出端口选择安装可选的windows组件—》找到网络服务----》双击打开----》找到动态主机配置协议（DHCP）—》选中。

接着配置服务器固定IP

如：10.1.1.1，以后局域网内的客户机ip从10.1.1.2开始

查看是否开放端口成功：netstat -an是否出现67,68端口

3）新建作用域（地址池）及作用域选项

开始—》管理工具----》DHCP服务器打开

此时服务器为空

右键服务器----》新建作用域—》下一步—》起名字—》输入作用域的范围、子网掩码长度

—》排除作用域内的某些ip—》配置DCHP选项（网关和DNS）—>添加路由器默认网关（实际情况）

—》指定DNS服务器添加（从网络商获取）

4）激活

5）客户机验证：

ipconfig  /release  释放IP（取消租约，或者改为手动配置IP，也可以释放租约）
 
ipconfig  /renew  重新获取IP（有IP时，发送request续约，无IP时发送Discovery重新获取IP）

三、DHCP攻击与防御

1）攻击DHCP服务器：频繁的发送伪装DHCP请求，直到将DHCP地址池资源耗尽

  防御：在交换机（管理型）的端口上做动态MAC地址绑定 

2）伪装DHCP服务器攻击：hack通过将自己部署为DHCP服务器，为客户机提供非法ip地址

  防御：在交换机上（管理型），除合法的DHCP服务器所在接口外，全部设置为禁止发送dhcp offer包 

四、其他相关知识

地址保留

这对指定的MAC地址，固定动态分配IP地址

给某个客户机用户特定的固定IP

ipconfig /all找到客户机的mac地址----》新建保留----》输入mac地址和对应的IP地址

选项优先级

当多个局域网时

作用域选项>服务器选项

当服务器上有多个作用域时，可以在服务器选项上设置DNS服务器

DHCP备份

备份服务器的所有作用域，当服务器宕机后，可以使用备份文件在其他DHCP服务器上进行还原所有配置

---

参考：B站千峰