DHCP安全管理

1、1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號網(wǎng)絡(luò)安全訪問控制DHCP安全管理一DHCP選項和消息類型二DHCP安全問題三DHCP存在問題的解決辦法1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP選項和消息類型 DHCP依賴于其可選項來提供真正的靈活性。正如你所看到的那樣，數(shù)據(jù)包的DHCP選項在大小和內(nèi)容上都可以變化。數(shù)據(jù)包的整體大小則取決于其所使用的選項。 所有DHCP數(shù)據(jù)包都需要的唯一選項就是消息類型選項（選項53)。這個選項標識著DHCP客戶端或者服務(wù)器將如何處理數(shù)據(jù)包中的信息。在下表中給出了所定義的8種消

2、息類型。 1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP選項和消息類型類型號類型號消息類型消息類型發(fā)現(xiàn)客戶端用來定位可用的DHCP服務(wù)器提供服務(wù)器用來給客戶端發(fā)送發(fā)現(xiàn)數(shù)據(jù)包的響應(yīng)請求客戶端用來請求服務(wù)器所提供的參數(shù)拒絕客戶端向服務(wù)器指明數(shù)據(jù)包的無效參數(shù)ACK服務(wù)器向客戶端發(fā)送所請求的配置參數(shù)NAK客戶端向服務(wù)器拒絕其配置參數(shù)的請求釋放客戶端向服務(wù)器通過取消配置參數(shù)來取消租約通知當客戶端已經(jīng)有IP地址時客戶端向服務(wù)器請求配置參數(shù)1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP安全問題1.DHCP Server的冒充。因為DHCP服務(wù)器和客戶端之間沒有認證機制，因

3、此如果隨意添置一臺DHCP服務(wù)器來處理客戶端發(fā)來的請求，客戶端也不會發(fā)現(xiàn)什么端倪。而假冒的服務(wù)器可以為客戶端分配錯的IP地址和其他網(wǎng)絡(luò)參數(shù)，從而對網(wǎng)絡(luò)造成非常大的危害。1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP安全問題2.DHCP Starvation（耗竭攻擊）。DHCP服務(wù)器通過檢查客戶端發(fā)送過來的DHCP請求報文中的CHADDR（即客戶端的MAC）字段來判斷客戶端的MAC地址。不同的CHADDR在DHCP服務(wù)器看來代表不同的客戶端，因此如果攻擊者偽造了很多不同CHADDR的DHCP報文請，那么DHCP服務(wù)器就會不停地為這些虛假的MAC分配IP，導(dǎo)致SHCP服務(wù)器上的

4、地址被耗盡，從而無法為正常的用戶分配IP。1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP安全問題 一旦正常的SHCP服務(wù)器癱瘓了之后，攻擊者就會假冒DHCP服務(wù)器為正常用戶分配虛假的IP等網(wǎng)絡(luò)參數(shù)。而拿到錯誤地客戶端所發(fā)送的數(shù)據(jù)全部送到了錯誤的地址。在進行金融方面的操作的時候可能客戶端拿到的就是錯誤的IP，比如一些釣魚網(wǎng)站就是利用這個來進行欺騙用戶的。1.二級標題微軟雅黑28號一、一級標題微軟雅黑加粗32號DHCP問題解決辦法解決辦法DHCP snooping（DHCP監(jiān)聽）基于DHCP監(jiān)聽有兩種實現(xiàn)方法：1.限速。將接受DHCP報文的速率限制在某個乏味內(nèi)，如每秒不超過10個包，這樣子就可以有效地避免DHCP地址池被耗盡。2.端口分類。將交換機的端口分為信任端口和非信任端口。信任端口是連接合法DHCP服務(wù)器的端口或者連接匯聚交換機的上行端口。非信任端口通常為連接終端設(shè)備的端口，如計算機等。連接在非信任端口的用戶只能發(fā)送DHCP請求，其余的消息就算用戶發(fā)送了出去，費信任端口還是會丟棄掉，不做任何的處理。并且只有通過交換機檢查的DHCP請求才會被允許通過，如果DHCP請求報文中的源MAC地址和D