DHCP部署与安全

1.DHCP作用

（Dynamic Host Configure Protocol）自动分配IP地址

2.DHCP相关概念

地址池/作用域：（IP、子网掩码、网关、DNS、租期）

3.DHCP优点

减小工作量、避免IP冲突、提高地址利用率

4.DHCP原理

也称为DHCP租约过程，分为4个步骤：

第一步：发送DHCP Discovery广播包

客户机广播请求IP地址（包含客户机的MAC地址）

第二步：响应DHCP Offer广播包

服务器提供的IP地址（但无子网掩码、网关等参数）

第三步：客户机发送DHCP Request广播包

客户机选择IP（也可认为确认使用哪个IP）

第四步：发送DHCP ACK广播包

服务器确定了租约，并提供网卡参数IP、掩码、网关、DNS、租期等。

5.DHCP续约

在50%过后，客户机会再次发送DHCP Request包，如果服务器无响应，则继续使用并在87.5%再次发送DHCP Request包进行续约，如果仍然无响应，则发送DHCP Discover包。当无任何服务器响应时，自动给自己分配一个169.254.x.x/16,属于全球统一无效地址，用于临时内网通信！

6.部署DHCP服务器（UDP 67,68服务端口）

（1）IP地址固定（服务器必须固定IP地址）
（2）安装DHCP服务插件
（3）新键作用域以及作用域选项
（4）激活
（5）客户机验证：

 ipconfig /release 释放IP（取消租约）
 ipconfig /renew 重新获取IP（如果IP本身为空则发送第一个discovery包获取IP，否则直接发送第三个Request包进行手动续约）

7.动态地址保留

用于动态保留某个特定电脑的IP地址，每次这个电脑向DHCP获取地址都会获取动态保留的那个IP地址。用于解决特殊需求。

8.选项优先级

作用域选项>服务器选项
当服务器上有多个作用域时，可以在服务器选项上设置DNS服务器

9.DHCP攻击与防御

• 攻击DHCP服务器：频繁的发送伪装DHCP请求（伪装MAC地址），直到将DHCP
  地址池资源好尽。
  防御：在交换机（管理型）的端口上做动态MAC地址绑定

• 伪装DHCP服务器攻击客户机：hack通过
  将自己部署为DHCP服务器，为客户机提供非法IP地址
  防御：在交换机（管理型）上，除合法的DHCP服务器所在接口外，全部设置为禁止发送dhcp offer包。