网络安全学习第六篇【DHCP部署与安全】

一、DHCP（Dynamic Host Configuration Protocol）的概念

    DHCP（动态主机配置协议）是一个局域网的网络协议。指的是由服务器控制一段IP地址范围，客户机登录服务器时就可以自动获得服务器分配的IP地址和子网掩码。默认情况下，DHCP作为Windows Server的一个服务组件不会被系统自动安装，还需要管理员手动安装并进行必要的配置。

专业术语：地址池/作用域：指的是由服务器控制一段IP地址范围（IP、子网掩码、DNS、网关、租期）DHCP相关端口是UDP 67/68端口

二、DHCP优点

减少工作量，避免IP冲突、提高地址利用率

三、DHCP原理

DHCP租约过程，分为四步：

1）客户机发送DHCP discovery广播包，请求IP地址（包中包含客户机的MAC地址）

2）服务器响应DHCP Offer广播包（可能有多个服务器响应，回复多个DHCP Offer广播包），包中提供了IP地址但是无子网掩码，网关等信息。

3）客户机发送DHCP request广播包，客户机选择IP地址（确认使用哪个IP地址），

4）服务器发送DHCP ACK包，服务器确定了租约，提供网卡详细参数IP，掩码，网关，DNS，租期等

四、DHCP相关的攻击

1.伪造Mac地址，请求大量的IP地址，影响DHCP的正常使用

2.伪造DHCP服务器，对客户机攻击，伪造为客户机提供服务，导致客户机并没有得到真的服务（只会造成部分客户机无法正常使用，因为客户机会收到真正的DHCP服务器和假的DHCP服务器的offer广播包）

防御手段：采用企业级交换机，针对第一种攻击，启用交换机的Mac记录识别功能，杜绝伪造Mac地址，请求IP地址，针对第二种攻击，关闭除针对DHCP服务器端口以外的发送Offer广播包的功能，使只有真正的DHCP服务器才能发送Offer广播包，保证客户机不被攻击。

五、DHCP续约

当租期过50%之后，客户机会再次发送DHCP request包，再次续约，如果服务器没有响应，则继续使用在87.5%再次发送DHCP Request包，进行续约，如仍然无响应，则释放IP地址，重新发送DHCP discovery广播包，来获取IP地址

注意：当无任何服务器响应时，自动给自己分配一个169.254.X.X/16  (保证局域网内还能通信)

六、部署DHCP服务器

1）IP地址固定（服务器必须固定IP地址）

         作为服务器，首先要配置静态的IP地址，配置静态IP地址时，注意网关，在公司时，需要是真实公司的网关地址

2）安装DHCP服务插件

        使用ISO光盘，安装可选的Windows组件，中打开网络服务，选择安装DHCP服务

3）新建作用域及作用域选项

4）激活

5）客户机验证

ipconfig   /release       #释放IP，取消租约，或者手动配置IP，也是释放租约

ipconfig   /renew        #重新获取IP

注意：如果已经获取IP了以后，在使用ipconfig   /renew 命令，则是发送request命令，续约命令，如果没有IP，则是发送discovery包，获取IP

 注意：在VM虚拟机中，v1和V8网络中，存在一个DHCP服务器，所以在做做DHCP服务器联系时，可能导致自动获取的IP不正确，需要编辑V1和V8网络，取消自带的DHCP服务

七、地址保留

在DHCP服务中，右键新建保留地址，需要客户端的唯一MAC地址，这样就能保留特定IP地址为特定用户使用

八、选项优先级

 

九、DHCP备份

在DHCP服务中，右键备份，保存到特定地方，需要时还原！

十、DHCP攻击与防御

1）攻击DHCP服务器：频繁的发送伪装的DHCP请求，直到将DHCP地址池资源耗尽

     防御：在交换机的端口上做动态的MAC地址绑定

2）伪装DHCP服务器攻击，hack通过将自己部署为DHCP服务器，为客户机提供非法IP地址

      防御：在交换机上，除合法的DHCP服务器所在的接口外，全都设置为禁止发送DHCP offer包

参考视频【千锋教育】网络安全工程师 （共311集培训班全套）