
DHCP
简介
DHCP基本概念
DHCP原理描述
产生背景 每个用户都手动配置IP地址、掩码、网关、DNS等多个参数
容易出错
灵活性差
IP地址资源利用率低
工作量大
DHCP(Dynamic Host Configure Protocol,动态主机配置协议)
从BOOTP(Bootstrap Protocol)协议发展而来
UDP封装,服务器端口号67,客户端68
动态分配TCP/IP信息(IP地址、子网掩码、默认网关、DNS服务器等)
DHCP协议由RFC 2131定义,采用客户端/服务器通信模式,由客户端(DHCP
Client)向服务器(DHCP Server)提出配置申请,服务器返回客户端分配的配置
信息
DHCP Client(客户端) 需要动态获得IP地址的主机
DHCP Server(服务器) 能提供DHCP功能的服务器或网络设备
DHCP Relay(中继)
负责转发DHCP服务器和DHCP客户端之间的DHCP报文,协助DHCP服务器向
DCHP客户端动态分配网络参数的设备
分配机制
动态分配机制 通过DHCP为主机分配一个有使用期限(这个使用期限通常叫做租期)的IP地址
静态分配机制 网络管理员通过DHCP为指定的主机分配固定的IP地址
优点
降低客户端的配置和维护成本
可以集中管理
租期
DHCP服务器给每个分配给客户端的IP地址定义一个使用期限,该使用期限被称为
租期
地址池
地址池指的是DHCP服务可以为客户端分配的所有IP地址的集合
创建方式
基于接口方式的地址池
在DHCP服务器与客户端相连的接口上配置IP地址,地址池是跟此接口基地址所属
同一网段的IP地址,且地址池中地址只能分配给此接口下的客户端
配置方式简单,仅适用于DHCP服务器与客户端在同一个网段的场景
基于全局方式的地址池
在系统视图下穿件指定网段的地址池,且地址池中地址可以分配给设备所有接口下
的客户端
当DHCP服务器与客户端不在同一个网段时,需要部署DHCP中继
接口地址池的优先级比全局地址池高
DHCP配置
DHCP报文
报文类型
报文格式
Options字段
用来存放分配给DHCP客户端的控制信息和参数
TYPE:1字节,该字段表示信息类型
Length:1字节,该字段表示后面信息内容的长度
Value:其长度为Length字段所指定,该字段表示信息内容
取值范围:1~255
无中继
第一步:发现阶段
首次接入网络的DHCP客户端不知道DHCP服务器的IP地址,为了学习到DHCP服务
器的IP地址,DHCP客户端以刚播方式发送 DHCP DISCOVER报文(目的IP地址为
255.255.255.255)给同一个网段内的所有设备(包括DHCP或中继)
第二步:提供阶段
与DHCP客户端位于同一网段的DHCP服务器都会接受到DHCP DISCOVER报文,
DHCP服务器选择跟接受DHCP DISVOVER报文的接口的IP地址处于同一网段的地
址池,并且从中选择一个可用的IP地址,然后通过DHCP OFFER报文发哦是哪个给
DHCP客户端
第三步:选择阶段
如果有多个DHCP服务器向DHCP客户端回应DHCP OFFER报文,则DHCP客户端一
般只接受第一个收到的DHCP OFFER报文,然后以广播方式发送DHCP REQUEST
报文通知所有的DHCP服务器,它将选择某个DHCP服务器提供的IP地址
第四步:确认阶段
当DHCP服务器收到DHCP客户端发送的DHCP REQUEST报文后,DHCP服务器回
应DHCP ACK报文,表示DHCP REQUEST报文中请求的IP地址分配给客户端使用,
客户端收到以后,会广播发送免费ARP报文,探测本网端是否有其它终端使用服务
器分配的地址
有中继
与无中继原理相同
主要差异是DHCP中继在DHCP服务器和DHCP客户端之间转发DHCP报文,以保证
DHCP服务器和DHCP客户端可以正常交互
非首次接入网络时
可以重用曾经使用过的地址
更新租期
1、当租期达到50%,客户端会自动以单播方式向DHCP服务器发送DHCP REQUEST
报文,请求更新IP地址租期,如果收到回应的DHCP ACK报文,则租期更新成功(租
期从0开始计算),如果收到DHCP NAK报文,则重新请求新的IP地址
2、当租期达到87.5%时,如果仍未收到DHCP服务器的回应,客户端会自动以广播方式
向DHCP服务器发送DHCP REQUEST报文,请求更新IP地址租期,如果收到回应的
DHCP ACK报文,则租期更新成功(租期从0开始计算),如果收到DHCP NAK报文,
则重新请求新的IP地址
3、如果租期时间到时都没有收到服务器的回应,客户端停止使用此IP地址,重新发
送DHCP DISCOVER报文请求新的IP地址
安全威胁
DHCP饿死攻击
攻击原理
攻击者持续大量的向DHCP Server申请IP地址,直到耗尽DHCP Server地址池中的
IP地址,导致DHCP Server不能给正常的用户进行分配
漏洞分析 DHCP Server向申请者分配IP地址时,无法区分正常的申请者与恶意的申请者
DHCP 欺骗 攻击原理
攻击者仿冒DHCP Server,向客户端分配错误的IP地址及提供错误的网关地址等参
数,导致客户端无法正常访问网络
漏洞分析
DHCP客户端接收到来自DHCP Server的DHCP消息后,无法区分这些DHCP消息是
来自仿冒的DHCP Server,还是来自合法的DHCP Server
DHCP中间人攻击
攻击原理
攻击者利用ARP机制,让PC-A学习到IP-S与MAC-B的映射关系,又让Server学习
到IP-A与MAC-B的映射关系,如此一来,PC-A与Server之间交互的IP报文都会经
过攻击者中转
漏洞分析
从本质上讲,中间人攻击是一种Snoofing IP/MAC攻击,中间人利用了虚假的IP地
址与MAC地址之间的映射关系来通知欺骗DHCP的客户端和服务器
DHCP Snooping
DHCP Snooping部署在交换机上,起作用类似于在DHCP客户端与DHCP服务器端
之间构筑了一道虚拟的防火墙
DHCP嗅探,保证DHCP客户端从合法的DHCP服务器获取IP地址,并记录DHCP客
户端IP地址与MAC地址等参数的对应关系,防止网络上针对DHCP攻击
截获DHCP报文并进行分析处理
建立和维护一个DHCP Snooping绑定表(MAC、IP、租期、VLAN、接口)
对DHCP报文进行过滤和限速
端口类型
信任(Trusted) 正常转发接收到的DHCP应答报文,转发DCHP请求
非信任(Untrusted) 丢弃接收到的DHCP应答报文
简介
优点
设备具有防御网络上DHCP攻击的能力,增强了设备的可靠性,保障通信网络的正
常运行
为用户提供更安全的网络环境,更稳定的网络服务
信任功能
DHCP Snooping的信任功能,能够保证客户端从合法的服务器获取IP地址
DHCP Snooping绑定表
收到DHCP ACK报文后,会从报文中提取关键信息
建立MAC+IP+VLAN+Port的绑定信息
只有接收到的报文的信息和绑定表中的内容一致才会被转发,否则报文被丢弃
配置
推荐在用户接入层交换机上部署DHCP Snooping,越靠近PC端口控制的越准确
评论0