DHCP实验配置学习

1、什么是dhcp?

DHCP（动态主机配置协议），是一个应用层协议，使用UDP的67和68端口， 可以自动为客户端分配IP地址、子网掩码、默认网关，DNS信息等内容。

2、dhcp报文

discover：客户端广播发送，寻找服务器

offer：服务端单播应答客户端，携带IP地址等配置参数。

request：客户端广播回应收到第一个offer的发送者服务端。IP地址超过租期的 50%时，客户端通过单播向同一个服务端申请续租。

ack：服务端单播应答客户端，则客户端可以正式使用IP地址。

nak：服务端收到request后由于某些原因而无法正常分配IP地址，单播回应nak。

release：客户端不再使用该IP地址时，单播发送该报文通知相关服务端。

decline：客户端收到ack后，使用IP地址发现有地址冲突，则单播告知服务端。

Inform：客户端已经配置了IP地址（例如通过静态分配或其他方式），但需要从DHCP服务器获取其他配置参数（如DNS服务器地址、默认网关等）时，会发送一个DHCP Inform报文。

3、通过dhcp获取ip的过程

（1）DHCP服务端打开UDP 67端口，监听请求。

（2） DHCP客户端从UDP 68利用UDP向服务端发送discover广播形式报文。

（3）DHCP服务端发送offer单播形式报文，携带了IP地址等配置参数。

（4） DHCP客户端选择最先收到offer报文，对offer的服务端发送request广播回复。

（5） DHCP服务器回复ACK单播形式报文，这时客户才可以正式使用IP地址。

4、dhcp好处

减少管理员的工作量、避免 IP 地址冲突、自动化IP地址分配、提高网络的可维护性、提高了IP地址的利用率

5、dhcp攻击和防御

（1）DHCP饿死攻击：攻击者持续大量地向DHCP Server申请IP地址，直到耗尽DHCP Server地址池中的IP地址，导致DHCP Server不能给正常的用户进行分配。

防御：DHCP Snooping技术支持在端口下对DHCP Request报文的源MAC地址与CHADDR进行一致性检查：如果二者相同，则转发报文；如果二者不相同，则丢弃。如果要在某端口下实施源MAC地址与CHADDR的一致性检查，可以在该端口下使用命令dhcp snooping check dhcp-chaddr enable

（2）仿冒DHCP服务器攻击：攻击者仿冒DHCP Server，向客户端分配错误的IP地址及提供错误的网关地址等参数，导致客户端无法正常访问网络。

防御：在DHCP服务器与交换机连接的端口设置为trusted端口，命令dhcp snooping trusted

（3）DHCP中间人攻击：攻击者利用ARP机制，让PC-A学习到IP-S与MAC-B的映射关系，又让Server学习到IP-A与MAC-B的映射关系，则PC-A与Server之间交互的IP报文都会经过攻击者中转。

防御：在交换机的系统视图下执行配置，命令arp dhcp-snooping-detect enable

6、dhcp的ensp简单实验

（1）接口模式配置

拓扑图：

配置：

LSW1：
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]vlan 10
[Huawei-vlan10]q
[Huawei]int e0/0/1
[Huawei-Ethernet0/0/1]port link-type access 	
[Huawei-Ethernet0/0/1]port default vlan 10
[Huawei-Ethernet0/0/1]int e0/0/2
[Huawei-Ethernet0/0/2]port link-type trunk
[Huawei-Ethernet0/0/2]port trunk allow-pass vlan  all
[Huawei-Ethernet0/0/2]

LSW2:
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type trunk
[Huawei-GigabitEthernet0/0/1]port trunk allow-pass vlan  all
[Huawei-GigabitEthernet0/0/1]q
[Huawei]dhcp en
Info: The operation may take a few seconds. Please wait for a moment.done.
[Huawei]vlan 10
[Huawei-vlan10]int vlan 10
[Huawei-Vlanif10]ip address 192.168.10.1 24
[Huawei-Vlanif10]dhcp select interface 	
[Huawei-Vlanif10]dhcp server dns-list 8.8.8.8 114.114.114.114
[Huawei-Vlanif10]

结果：

（2）全局模式配置

拓扑图：

配置：

LSW1:
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]vlan 20
[Huawei]int e0/0/1
[Huawei-Ethernet0/0/1]port link-type access 
[Huawei-Ethernet0/0/1]por de vlan 20
[Huawei-Ethernet0/0/1]int e0/0/2
[Huawei-Ethernet0/0/2]port link-type tr
[Huawei-Ethernet0/0/2]port trunk allow-pass vlan  all 
[Huawei-Ethernet0/0/2]

LSW2：
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]vlan 20
[Huawei-vlan20]int g0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type trunk
[Huawei-GigabitEthernet0/0/1]port trunk allow-pass vlan  all
[Huawei-GigabitEthernet0/0/1]q
[Huawei]dhcp en
Info: The operation may take a few seconds. Please wait for a moment.done.
[Huawei]int vlan 20	
[Huawei-Vlanif20]ip address 192.168.20.1 24
[Huawei-Vlanif20]q	
[Huawei]ip pool vlan20pool
Info:It's successful to create an IP address pool.
[Huawei-ip-pool-vlan20pool]network 192.168.20.0 mask 24	
[Huawei-ip-pool-vlan20pool]gateway-list 192.168.20.1
[Huawei-ip-pool-vlan20pool]dns-list 114.114.114.114 8.8.8.8
[Huawei-ip-pool-vlan20pool]excluded-ip-address 192.168.20.250 192.168.20.254
[Huawei-ip-pool-vlan20pool]q
[Huawei]int vlan 20
[Huawei-Vlanif20]dhcp select global 
[Huawei-Vlanif20]

结果：

（3）中继模式配置

拓扑图：

配置：

AR1:
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]dhcp en
Info: The operation may take a few seconds. Please wait for a moment.done.
[Huawei]ip pool vlan30pool
Info: It's successful to create an IP address pool.
[Huawei-ip-pool-vlan30pool]network 192.168.30.1 mask 24
[Huawei-ip-pool-vlan30pool]gateway-list 192.168.30.1
[Huawei-ip-pool-vlan30pool]dns-list 114.114.114.114 192.168.30.1
[Huawei-ip-pool-vlan30pool]excluded-ip-address 192.168.30.250 192.168.30.254
[Huawei-ip-pool-vlan30pool]q
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.30.254 24
[Huawei-GigabitEthernet0/0/0]dhcp select global 
[Huawei-GigabitEthernet0/0/0]

LSW2：
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]dhcp en
Info: The operation may take a few seconds. Please wait for a moment.done.
[Huawei]vlan 30
[Huawei-vlan30]int vlan 30 
[Huawei-Vlanif30]ip address 192.168.30.253 24
[Huawei-Vlanif30]dhcp select relay 	
[Huawei-Vlanif30]dhcp relay server-ip 192.168.30.254 
[Huawei-Vlanif30]

结果：