DHCP部署与安全(windows)

一、DHCP作用

（Dynamic Host Configure Protocol）自动分配ip地址

二、DHCP相关概念

地址池\作用域：（ip，子网掩码、网关，DNS，租期）
端口号是UDP67 /68

三、DHCP优点

·减少工作量、避免ip冲突、提高地址利用率

四、DHCP原理

DHCP租约过程，分为4个步骤
1.）客户机发送DHCP Discovery广播包
客户机广播请求ip地址（包含客户机的MAC地址）
2.）服务器响应DHCP Offer广播包
服务器响应提供的IP地址（但无网掩码、网关等参数）
3.）客户机发送DHCP Request广播包
客户机选择IP（也可认为确认使用哪个IP）
4.）服务器发送DHCP ACK广播包
服务器确定了租约，并提供网卡详细参数IP、掩码、网关、DNS、租期等

五、DHCP续约

当50%过后，客户机会再次发送DHCPRequest包，进行续约，如服务器无响应，则继续使用并在87.5%再次DHCP Request包，进行续约，如仍然无响应，并释放IP地址，及重新发送DHCP Discovery广播包来获取IP地址，如果无任何服务器相应时，网卡位置会变成叹号，并且自己生成一个ip地址，169.254开头的16位无效ip地址，属于全球统一的无效地址，用于临时内网通信

六、部署DHCP服务器

1）IP地址固定（服务器必须固定IP地址）
2）安装DHCP服务插件
3）新建作用域及作用域选项
4）激活
5）客户机验证：ipconfig /release 释放ip地址 ipconfig/renew 重新获取IP地址，如果有地址再次输入ipconfig/renew会发送request包重新续约
ipconfig /release 释放ip地址（取消租约，或者改为手动配置ip地址，也可以释放租约）
ipconfig/renew 重新获取IP（有ip时发送request包续约，无ip时候发送descovery重新获取ip）

七、地址保留

对于指定的MAC地址，固定分配ip地址

八、选项优先级

作用于选项>服务器选项
当服务器上有多个作用域时，可以在服务器选项上设置DNS服务器，其他作用于将会被继承，如果作用域单独设置DNS服务器，那么将会优先级高于服务器选项的DNS设置

九、DHCP攻击与防御

1）攻击DHCP服务器：频繁的发送伪装DHCP请求，直到将DHCP地址池中的地址耗干
防御：在交换机(管理型)的端口上做动态MAC地址绑定
2)伪装DHCP服务器攻击：黑帽子将自己部署为DHCP服务器，给客户机提供假的非法ip地址
防御：在交换机(管理型)上配置，除了合法的DHCP服务器所在的端口，其余的端口全部设置为禁止发送DHCP offer包

十、常见的小问题

服务器的IP地址与地址池的ip地址必须在同一网段
备份时候删除不要删除服务器，要删作用域
如果使用虚拟机，把虚拟机自带的DHCP关掉