DHCP部署与安全

一，作用
Dynamic Host Configuration Protocol,自动分配ID地址

二，相关概念
地址池/作用域：（IP，子网掩码，网关，DNS，租期）DHCP协议端口是UDP 67/68

三，优点
减少工作量、避免IP冲突、提高地址利用率

四，DHCP原理
分为4个步骤：
1）发送DHCP Discovery 广播包
客户机广播请求IP地址（包含客户机的MAC地址）
2）响应DHCP Offer广播包
服务器响应提供的IP地址（但无子网掩码、网关等参数）
3）发送DHCP Request广播包
客户机选择IP（也可认为确认使用哪个IP）
4）服务器发送DHCP ACK 广播包
服务器确定了租约，并提供网卡详细参数IP、掩码，网关、DNS、租期等

五，DHCP续约
50%过后，客户机会再次发送DHCP Request包，进行续约，如果服务器无响应，则继续使用并在87.5%，再次发送DCHP Request包，进行续约，如X任然无响应，并释放IP地址，及重新发送DHCP Discovery 广播包来获取IP地址，当无任何服务器响应是，自动给自己分配一个169.254.x.x/16，全球同意无效地址，用于临时内网通信！

六，部署DHCP服务器
1）IP地址固定（服务器必须固定IP地址）
2）安装DHCP服务器
3）新建作用域及作用于选项
4）激活
5）客户机验证

路由器也可以做DHCP服务器。
网关（路由器），服务器都占用IP地址。

ipconfig 查询ip
ipconfig /all 查询详细信息
ipconfig /release 释放ip
ipconfig /renew 重联ip

七，地址保留
针对指定的MAC地址，分配固定的IP地址
当服务器选项有多个作用域时，可以在服务器选项上设置DNS服务器

八，选项优先级
作用域选项>优先级选项

九，DHCP备份

十，DHCP攻击与防御
1）攻击DHCP服务器：频繁发送伪装的DHCP请求，直到将DHCP地址池耗尽
防御：在交换机（管理型）端口上做动态MAC地址绑定
2）伪装DHCP服务器攻击客户机：hack通过将自己部署为DHCP服务器，为客户机提供非法IP地址
防御：在交换机（管理型），除合法的DHCP服务器所在接口外，全部设置为禁止发送DHCP offer包