DHCP产生的背景: 1. BOOTP是静态分配IP地址的,满足不了灵活性和IP地址利用率的需求; 2. 减少了网管员的工作量。 注:DHCP可以理解为BOOTP的增强版本。
DHCP报文: 报文格式: DHCP有八种报文:DHCPDISCOVER, DHCPOFFER, DHCPREQUEST, DHCPACK, DHCPNAK,DHCPRELEASE,DHCPDECLINE,DHCPINFORM。 分别介绍: DHCPDISCOVER 用以发现网络中的DHCP服务器的。客户端发出; DHCPOFFER 用以响应DHCPDISCOVER请求,服务器发出; DHCPREQUEST 用来请求配置参数或者续借租期,客户端发出; DHCPACK 确认报文,服务器发出; DHCPNAK 否定应答,服务器发出; DHCPRELEASE 告知不再需要分配的IP地址,客户端发出; DHCPDECLINE 告知服务器所分配的IP不能使用,客户端发出; DHCPINFORM 已有IP地址,用来请求其他配置参数。
相关概念: DHCP SERVER : DHCP服务器,为用户提供可用的IP地址。 DHCP CLIENT : DHCP客户端,通过DHCP动态申请IP地址的用户。 DHCP RELAY : DHCP中继,用户跨网段申请IP地址时,实现报文的中继转发功能。 DCHP SECURITY : DHCP安全特性,实现合法用户IP地址表的管理功能。 DHCP SNOOPING : DHCP监听,记录通过二层设备申请到IP地址的用户信息。
DHCP客户端工作过程: 1.DHCP客户端首次获取IP地址 说明:客户端只接收第一个OFFER报文
2.DHCP客户端更新租约 说明:50%时请求续约,即询问是否可以继续使用分到的IP地址,服务器回应ACK则续约成功,回应NAK则重新发起申请过程; 若服务器不回应则在87.5%时再请求续约一次。
3.客户端重启后 重启后不进行DISCOVER的申请,而是直接发送REQUEST报文给服务器。
DHCP服务器工作过程: 1. 建立和维护地址池 2. 给客户端分配一个可用的IP地址 3. 提供扩展的网络配置信息 4. 处理客户端发送来的DHCP报文 5. 为客户端处理延长租期的请求 6. 设定或释放保留地址 7. 探测分配IP地址的活动情况 8. 配置相关网络参数以告知客户端
DHCP中继工作过程: 示意图:
1. 建立DHCP中继设备与DHCP服务器组的关联关系 2. 处理DHCP中继报文 3. 提供安全检查功能(主要包括通过日志发现伪装的DHCP服务器)
DHCP面临的***类型: 1.DHCP服务欺骗*** 2.ARP中间人*** 3.IP/MAC欺骗*** 4.DHCP报文洪泛***
DHCP Snooping: DHCP Snooping是DHCP的安全特性。当交换机开启DHCP Snooping后,会对DHCP报文进行侦听,并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。 DHCP Snooping主要实现如下两方面的功能: 1、过滤不信任端口上的DHCP SERVER的响应消息;(抵御DHCP服务欺骗***) 2、记录用户的IP地址和MAC地址的绑定关系。(抵御ARP中间人***和IP/MAC欺骗***) DHCP Snooping可以抵御DHCP服务欺骗***、ARP中间人***和IP/MAC欺骗***,对于洪泛***(DoS)只能采用报文限速的方法。报文限速功能应用在端口,被限制后一段时间自动开启。
DHCP Snooping
信任端口功能示意图
![]() ARP***检测功能示意图 |
转载于:https://blog.51cto.com/ksilent/945238