DHCP协议

DHCP

传统的手工配置网络参数需要每个用户都手动配置IP地址、掩码、网关、DNS等多个参数，随着用户规模的扩大及用户位置的不固定性，传统的静态手工配置方式已经无法满足需求，为了实现网络可以动态合理地分配IP地址给主机使用，需要用到动态主机配置协议DHCP

动态主机配置协议

效率高、灵活性强、易于管理

报文详细

报文类型	含义
DHCP DISCOVER	客户端用来寻找DHCP服务器。
DHCP OFFER	DHCP服务器用来响应DHCP DISCOVER报文，此报文携带了各种配置信息。
DHCP REQUEST	客户端请求配置确认，或者续借租期。
DHCP ACK	服务器对REQUEST报文的确认响应。
DHCP NAK	服务器对REQUEST报文的拒绝响应。
DHCP RELEASE	客户端要释放地址时用来通知服务器。

建立连接

如果IP租约到期前都没有收到服务器响应，客户端停止使用此IP地址。

如果DHCP客户端不再使用分配的IP地址，也可以主动向DHCP服务器发送DHCP RELEASE报文，释放该IP地址

DHCP的分配方式

1. 基于全局分配

   1. 需要新建一个ip地址池
   2. 地址池中至少需要写入network，gatelist，dnslist
   3. 在接口上启动全局分配

   dhcp enable
   #
   ip pool test
    gateway-list 192.168.1.1 
    network 192.168.1.0 mask 255.255.255.0 
    dns-list 8.8.8.8
   interface GigabitEthernet0/0/0
   #
   interface GigabitEthernet0/0/0.1
    dot1q termination vid 10
    ip address 192.168.1.1 255.255.255.0 
    arp broadcast enable
    dhcp select global
   

2. 基于接口分配

   1. 直接在接口上选择在接口使用

   interface GigabitEthernet0/0/0.2
    dot1q termination vid 20
    ip address 192.168.2.1 255.255.255.0 
    arp broadcast enable
    dhcp select interface
   

DHCP中继

DHCP Relay的基本作用就是专门在DHCP Client和DHCP Server之间进行DHCP消息的中转。

DHCP Client利用DHCP Relay来从DHCP Server那里获取IP地址等配置参数时，DHCP Relay必须与DHCP Client位于同一个二层广播域，但DHCP Server可以与DHCP Relay位于同一个二层广播域，也可以与DHCP Relay位于不同的二层广播域。DHCP Client与DHCP Relay之间是以广播方式交换DHCP消息的，但DHCP Relay与DHCP Server之间是以单播方式交换DHCP消息的（这就意味着，DHCP Relay必须事先知道DHCP Server的IP地址）

配置DHCP-Server：
（以基于全局地址池分配地址为例）
dhcp enable 
ip pool DHCP-relay
 gateway-list 192.168.1.1
 network 192.168.1.0 mask 24	
 dns-list 10.1.1.1	
interface g0/0/0
 ip address 10.1.1.1 24	
 dhcp select global 
ip route-static 192.168.1.0 24 10.1.1.2

配置DHCP中继：
dhcp server group DHCP
dhcp-server 10.1.1.1
dhcp enable 
interface g0/0/1
 ip address 192.168.1.1 24
 dhcp select relay 
 dhcp relay server-select DHCP
interface g0/0/0
 ip address 10.1.1.2 24

DHCP面临的安全问题

• DHCP饿死攻击
• 仿冒DHCP Server攻击
• DHCP中间人攻击

DHCP Snooping是DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系。DHCP Snooping可以抵御网络中针对DHCP的各种攻击，为用户提供更安全的网络环境和更稳定的网络服务。

合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系。DHCP Snooping可以抵御网络中针对DHCP的各种攻击，为用户提供更安全的网络环境和更稳定的网络服务。

DHCP Snooping部署在交换机上，其作用类似于在DHCP客户端与DHCP服务器端之间构筑了一道虚拟的防火墙