計算機(jī)網(wǎng)絡(luò)技術(shù)與應(yīng)用（第4版）課件 第9章 DHCP技術(shù)

第九章DHCP技術(shù)目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.1.1DHCP應(yīng)用場景在大型企業(yè)網(wǎng)絡(luò)中，一般會有大量的主機(jī)等終端設(shè)備，每個終端都需要配置IP地址等網(wǎng)絡(luò)參數(shù)才能接入網(wǎng)絡(luò)。但是，手動配置IP地址工作量大，而且配置時容易導(dǎo)致IP地址沖突等錯誤。DHCP可以為網(wǎng)絡(luò)終端動態(tài)分配IP地址，解決了手工配置IP地址時的各種問題。9.1.2DHCP基本概念DHCP是一個用于局域網(wǎng)的網(wǎng)絡(luò)協(xié)議，位于OSI模型的應(yīng)用層，使用UDP協(xié)議工作。DHCP使用了租期的概念，或稱為計算機(jī)IP地址的有效期。租用時間是不定的，主要取決于用戶在某地連接Internet需要多久，這對于教育行業(yè)和其他用戶頻繁改變的環(huán)境是很實(shí)用的。通過較短的租期，DHCP能夠在一個計算機(jī)比可用IP地址多的環(huán)境中動態(tài)地重新配置網(wǎng)絡(luò)。DHCP支持為計算機(jī)分配靜態(tài)地址，如需要永久性IP地址的Web服務(wù)器。DHCP報文類型報文類型含

義DHCP

DISCOVER客戶端用來尋找DHCP服務(wù)器DHCP

OFFERDHCP服務(wù)器用來響應(yīng)DHCP

DISCOVER報文，此報文攜帶了各種配置信息DHCP

REQUEST客戶端請求配置確認(rèn)，或者續(xù)借租期DHCP

ACK服務(wù)器對REQUEST報文的確認(rèn)響應(yīng)DHCP

NAK服務(wù)器對REQUEST報文的拒絕響應(yīng)DHCP

RELEASE客戶端要釋放地址時用來通知服務(wù)器DHCP地址池DHCP服務(wù)器的地址池是用來定義分配給主機(jī)的IP地址范圍，有兩種形式。（1）接口地址池。為連接到同一網(wǎng)段的主機(jī)或終端分配IP地址。可以在服務(wù)器的接口下執(zhí)行dhcpselectinterface命令，配置DHCP服務(wù)器采用接口地址池的DHCP服務(wù)器模式為客戶端分配IP地址。（2）全局地址池。為所有連接到DHCP服務(wù)器的終端分配IP地址?？梢栽诜?wù)器的接口下執(zhí)行dhcpselectglobal命令，配置DHCP服務(wù)器采用全局地址池的DHCP服務(wù)器模式為客戶端分配IP地址。接口地址池的優(yōu)先級比全局地址池高。配置了全局地址池后，如果又在接口上配置了地址池，客戶端將會從接口地址池中獲取IP地址。目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.2.1DHCP工作原理DHCP工作原理從以下四個方面介紹：

DHCP工作過程

DHCP租期更新

DHCP重綁定

DHCP地址釋放DHCP工作過程為了獲取IP地址等配置信息，DHCP客戶端需要和DHCP服務(wù)器進(jìn)行報文交互。首先，DHCP客戶端發(fā)送DHCP發(fā)現(xiàn)報文來發(fā)現(xiàn)DHCP服務(wù)器。DHCP服務(wù)器會選取一個未分配的IP地址，向DHCP客戶端發(fā)送DHCP提供報文。此報文中包含分配給客戶端的IP地址和其他配置信息。DHCP服務(wù)器端DHCP客戶端DHCP客戶端發(fā)送DHCP服務(wù)器端發(fā)送DHCPDiscover（廣播）：用于發(fā)現(xiàn)當(dāng)前網(wǎng)絡(luò)中的DHCP服務(wù)器端。DHCPOffer（單播）：攜帶分配給客戶端的IP地址。DHCPRequest（廣播）：告知服務(wù)器端自己將使用該IP地址。DHCPAck（單播）：最終確認(rèn)，告知客戶端可以使用該IP地址。二層廣播域Pool-No1TotalAddress255UsedAddress2DHCP租期更新DHCP服務(wù)器向DHCP客戶端出租的IP地址一般都有一個租借期限，期滿后DHCP服務(wù)器便會收回出租的IP地址。如果DHCP客戶端要延長其IP租期，則必須更新其IP租期。DHCP客戶端啟動時和IP租期過一半時，DHCP客戶端都會自動向DHCP服務(wù)器發(fā)送更新其IP租期的信息。DHCP服務(wù)器端DHCP客戶端DHCPRequest（單播）：向服務(wù)器端請求繼續(xù)使用該IP地址，延長使用期限。DHCPAck（單播）：告知客戶端可以繼續(xù)使用該IP地址，可使用時間刷新到租期時長（Lease）。50%租期二層廣播域Pool-No1TotalAddress255UsedAddress2Lease

8HoursDHCP客戶端發(fā)送DHCP服務(wù)器端發(fā)送DHCP重綁定如果在50%租期時客戶端未得到原服務(wù)器端的回應(yīng)，則客戶端在87.5%租期時會廣播發(fā)送DHCPRequest，任意一臺DHCP服務(wù)器端都可回應(yīng)，該過程稱為重綁定。DHCP地址釋放①如果IP租期到期前都沒有收到服務(wù)器響應(yīng)，客戶端停止使用此IP地址。②如果DHCP客戶端不再使用分配的IP地址，也可以主動向DHCP服務(wù)器發(fā)送DHCPRelease報文，釋放該IP地址9.2.2DHCP基本配置DHCP基本配置有以下三個方面：

基于接口地址池

基于全局地址池

獲取IP地址基于端口地址池DHCP基于接口地址池配置如下：[Huawei]dhcpenable//啟動DHCP功能[Huawei]interfaceGigabitEthernet0/0/0//加入接口地址池中[Huawei-GigabitEthernet0/0/0]dhcpselectinterface//關(guān)聯(lián)接口和接口地址池[Huawei-GigabitEthernet0/0/0]dhcpserverdns-list10.1.1.2//指定接口地址池下的DNS服務(wù)器地址[Huawei-GigabitEthernet0/0/0]dhcpserverexcluded-ip-address10.1.1.2//配置接口地址池中不參與自動分配的IP地址范圍[Huawei-GigabitEthernet0/0/0]dhcpserverleaseday3//配置租用有效期限基于全局地址池DHCP基于全局地址池配置如下：[Huawei]dhcpenable[Huawei]ippoolpool2//創(chuàng)建全局地址池[Huawei-ip-pool-pool2]network1.1.1.0mask24//配置全局地址池下可分配的網(wǎng)段地址[Huawei-ip-pool-pool2]gateway-list1.1.1.1//配置DHCP服務(wù)器全局地址池的出口網(wǎng)關(guān)地址[Huawei-ip-pool-pool2]leaseday10//配置DHCP全局地址池下的地址租期。缺省情況下，IP地址租期是1天[Huawei-ip-pool-pool2]quit[Huawei]interfaceGigabitEthernet0/0/1[Huawei-GigabitEthernet0/0/1]dhcpselectglobal//使能接口的DHCP服務(wù)器功能獲取IP地址獲取IP地址配置如下：（1）ipconfig。在PC的命令行中可以使用ipconfig自動獲取IP地址。（2）ipconfig/release。斷開當(dāng)前的網(wǎng)絡(luò)連接，主機(jī)IP變?yōu)?.0.0.0，主機(jī)與網(wǎng)絡(luò)斷開，不能訪問網(wǎng)絡(luò)。（3）ipconfig/renew。更新適配器信息，請求連接網(wǎng)絡(luò)，這條命令結(jié)束之后，主機(jī)會獲得一個可用的IP地址，再次接入網(wǎng)絡(luò)。目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.3.1DHCP中繼概述隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，網(wǎng)絡(luò)中就會出現(xiàn)用戶處于不同網(wǎng)段的情況。DHCPRelay即DHCP中繼，它是為解決DHCP服務(wù)器和DHCP客戶端不在同一個廣播域而提出的，提供了對DHCP廣播報文的中繼轉(zhuǎn)發(fā)功能。方法一在每一個二層廣播域中都部署一個DHCPServer方法二部署一個DHCPServer來同時為多個二層廣播域中的DHCPClient服務(wù)。這就需要引入DHCPRelay。9.3.2DHCP中繼原理DHCPRelay的基本作用就是專門在DHCPClient和DHCPServer之間進(jìn)行DHCP消息的中轉(zhuǎn)。9.3.3DHCP中繼配置DHCP中繼配置如下圖所示：配置DHCP-Server以基于全局地址池分配地址為例[HuaWei]dhcpenable[HuaWei]ippoolDHCP-relay[HuaWei-ip-pool-DHCP-relay]gateway-list192.168.1.1[HuaWei-ip-pool-DHCP-relay]network192.168.1.0mask24[HuaWei-ip-pool-DHCP-relay]dns-list10.1.1.1[HuaWei-ip-pool-DHCP-relay]quit[HuaWei]interfaceg0/0/0[Huawei-GigabitEthernet0/0/0]ipaddress10.1.1.124[Huawei-GigabitEthernet0/0/0]dhcpselectglobal[Huawei-GigabitEthernet0/0/0]quit[HuaWei]iproute-static192.168.1.02410.1.1.2配置DHCP中繼（GW）[HuaWei]dhcpservergroupDHCP #創(chuàng)建DHCP服務(wù)器組[HuaWei-dhcp-server-group-DHCP]dhcp-server10.1.1.1#設(shè)置DHCP服務(wù)器地址[HuaWei-dhcp-server-group-DHCP]quit[HuaWei]dhcpenable[HuaWei]interfaceg0/0/1[Huawei-GigabitEthernet0/0/1]ipaddress192.168.1.124[Huawei-GigabitEthernet0/0/1]dhcpselectrelay #開啟中繼功能[Huawei-GigabitEthernet0/0/1]dhcprelayserver-selectDHCP #設(shè)定中繼要使用的服務(wù)器組[Huawei-GigabitEthernet0/0/1]quit[HuaWei]interfaceg0/0/0[Huawei-GigabitEthernet0/0/0]ipaddress10.1.1.224目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.4.1DHCPSnooping概述DHCPSnooping是DHCP的一種安全特性，用于保證DHCP客戶端從合法的DHCP服務(wù)器獲取IP地址，并記錄DHCP客戶端IP地址與MAC地址等參數(shù)的對應(yīng)關(guān)系，防止網(wǎng)絡(luò)上針對DHCP的攻擊。目前DHCP協(xié)議（RFC2131）在應(yīng)用的過程中遇到很多安全方面的問題，網(wǎng)絡(luò)中存在一些針對DHCP的攻擊，如DHCPServer仿冒者攻擊、DHCPServer的拒絕服務(wù)攻擊、仿冒DHCP報文攻擊等。為了保證網(wǎng)絡(luò)通信業(yè)務(wù)的安全性，可引入DHCPSnooping技術(shù)，在DHCPClient和DHCPServer之間建立一道防火墻，以抵御網(wǎng)絡(luò)中針對DHCP的各種攻擊。9.4.2DHCPSnooping原理2．DHCPSnooping的分析功能開啟DHCPSnooping功能后，設(shè)備能夠通過分析DHCP的報文交互過程，生成DHCPSnooping綁定表，綁定表項(xiàng)包括客戶端的MAC地址、獲取到的IP地址、與DHCP客戶端連接的接口及該接口所屬的VLAN等信息。1．DHCPSnooping的信任功能DHCPSnooping的信任功能能夠保證客戶端從合法的服務(wù)器獲取IP地址。網(wǎng)絡(luò)中如果存在私自架設(shè)的DHCPServer仿冒者，則可能導(dǎo)致DHCP客戶端獲取錯誤的IP地址和網(wǎng)絡(luò)配置參數(shù)，無法正常通信。DHCPSnooping信任功能可以控制DHCP服務(wù)器應(yīng)答報文的來源，以防止網(wǎng)絡(luò)中可能存在的DHCPServer仿冒者為DHCP客戶端分配IP地址及其他配置信息。9.4.3DHCP攻擊DHCP攻擊從以下三個方面介紹：

DHCPServer仿冒者攻擊仿冒DHCP報文攻擊DHCPServer服務(wù)拒絕攻擊DHCPServer仿冒者攻擊（1）攻擊原理由于DHCPServer和DHCPClient之間沒有認(rèn)證機(jī)制，所以如果在網(wǎng)絡(luò)上隨意添加一臺DHCP服務(wù)器，它就可以為客戶端分配IP地址以及其他網(wǎng)絡(luò)參數(shù)。如果該DHCP服務(wù)器為用戶分配錯誤的IP地址和其他網(wǎng)絡(luò)參數(shù)，將會對網(wǎng)絡(luò)造成非常大的危害。（2）解決方法為了防止DHCPServer仿冒者攻擊，可配置設(shè)備接口的“信任（Trusted）/非信任（Untrusted）”工作模式。將與合法DHCP服務(wù)器直接或間接連接的接口設(shè)置為信任接口，其他接口設(shè)置為非信任接口。此后，從“非信任（Untrusted）”接口上收到的DHCP回應(yīng)報文將被直接丟棄，這樣可以有效防止DHCPServer仿冒者的攻擊。仿冒DHCP報文攻擊（1）攻擊原理已獲取到IP地址的合法用戶通過向服務(wù)器發(fā)送DHCPRequest或DHCPRelease報文用以續(xù)租或釋放IP地址。如果攻擊者冒充合法用戶不斷向DHCPServer發(fā)送DHCPRequest報文來續(xù)租IP地址，會導(dǎo)致這些到期的IP地址無法正?；厥眨灾乱恍┖戏ㄓ脩舨荒塬@得IP地址；而若攻擊者仿冒合法用戶的DHCPRelease報文發(fā)往DHCPServer，將會導(dǎo)致用戶異常下線。（2）解決方法為了有效的防止仿冒DHCP報文攻擊，可利用DHCPSnooping綁定表的功能。設(shè)備通過將DHCPRequest續(xù)租報文和DHCPRelease報文與綁定表進(jìn)行匹配操作能夠有效的判別報文是否合法（主要是檢查報文中的VLAN、IP、MAC、接口信息是否匹配動態(tài)綁定表），若匹配成功則轉(zhuǎn)發(fā)該報文，匹配不成功則丟棄。DHCPServer服務(wù)拒絕攻擊（1）攻擊原理若設(shè)備接口interface1下存在大量攻擊者惡意申請IP地址，會導(dǎo)致DHCPServer中IP地址快速耗盡而不能為其他合法用戶提供IP地址分配服務(wù)。另一方面，DHCPServer通常僅根據(jù)DHCPRequest報文中的CHADDR（ClientHardwareAddress）字段來確認(rèn)客戶端的MAC地址。如果某一攻擊者通過不斷改變CHADDR字段向DHCPServer申請IP地址，同樣將會導(dǎo)致DHCPServer上的地址池被耗盡，從而無法為其他正常用戶提供IP地址。（2）解決方法為了抑制大量DHCP用戶惡意申請IP地址，在使能設(shè)備的DHCPSnooping功能后，可配置設(shè)備或接口允許接入的最大DHCP用戶數(shù)，當(dāng)接入的用戶數(shù)達(dá)到該值時，則不再允許任何用戶通過此設(shè)備或接口成功申請到IP地址。而對通過改變DHCPRequest報文中的CHADDR字段方式的攻擊，可使能設(shè)備檢測DHCPRequest報文幀頭MAC與DHCP數(shù)據(jù)區(qū)中CHADDR字段是否一致功能，此后設(shè)備將檢查發(fā)送的DHCPRequest報文中的幀頭MAC地址是否與CHADDR值相等，相等則轉(zhuǎn)發(fā)，否則丟棄。目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.5.1DHCPv6基本概念DHCPv6可以分為三種：有狀態(tài)自動配置無狀態(tài)自動配置

PD（PrefixDelegation，前綴代理）自動配置DHCPv6有狀態(tài)自動配置DHCPv6有狀態(tài)自動配置四步交互過程：①DHCPv6客戶端發(fā)送Solicit報文，請求DHCPv6服務(wù)器為其分配IPv6地址和網(wǎng)絡(luò)配置參數(shù)；②DHCPv6服務(wù)器回復(fù)Advertise報文，該報文中攜帶了為客戶端分配的IPv6地址以及其他網(wǎng)絡(luò)配置參數(shù)；③DHCPv6客戶端如果接收到了多個服務(wù)器回復(fù)的Advertise報文，則會根據(jù)Advertise報文中的服務(wù)器優(yōu)先級等參數(shù)來選擇優(yōu)先級最高的一臺服務(wù)器，并向所有的服務(wù)器發(fā)送Request組播報文；④被選定的DHCPv6服務(wù)器回復(fù)Reply報文，確認(rèn)將IPv6地址和網(wǎng)絡(luò)配置參數(shù)分配給客戶端使用。DHCPv6無狀態(tài)自動配置DHCPv6無狀態(tài)自動配置兩步交互過程：①DHCPv6客戶端以組播方式向DHCPv6服務(wù)器發(fā)送Information-Request報文，該報文中攜帶OptionRequest選項(xiàng)，用來指定DHCPv6客戶端需要從DHCPv6服務(wù)器獲取的配置參數(shù)。DHCPv6服務(wù)器收到Information-Request報文后，為DHCPv6客戶端分配網(wǎng)絡(luò)配置參數(shù)，并單播發(fā)送Reply報文，將網(wǎng)絡(luò)配置參數(shù)返回給DHCPv6客戶端；②DHCPv6客戶端根據(jù)收到的Reply報文中提供的參數(shù)完成DHCPv6客戶端無狀態(tài)配置。DHCPv6PD自動配置DHCPv6PD交互過程如下：①DHCPv6客戶端發(fā)送Solicit報文，請求DHCPv6服務(wù)器為其分配IA_NA地址和IA_PD前綴；②DHCPv6服務(wù)器回復(fù)Advertise報文，通知客戶端可以為其分配的IPv6地址和前綴；③客戶端接收到多個服務(wù)器回復(fù)的Advertise報文，則根據(jù)Advertise報文中的服務(wù)器優(yōu)先級等參數(shù)，選擇優(yōu)先級最高的一臺服務(wù)器（若服務(wù)器優(yōu)先級一樣，則選擇帶有該客戶端需要的配置參數(shù)的Advertise報文），并向其發(fā)送Request報文，請求為其分配地址/前綴；④DHCPv6服務(wù)器回復(fù)Reply報文，確認(rèn)將IPv6地址/前綴分配給DHCPv6客戶端；⑤DHCPv6客戶端在收到PD前綴后，與終端進(jìn)行RS/RA報文交互，在RA報文中將攜帶獲取到的PD前綴下發(fā)至終端。9.5.2DHCPv6配置DHCPv6配置拓?fù)淙鐖D所示，共有兩臺路由器，R1和R2，R1為DHCPServer，R2通過R1自動獲取地址。配置DHCPv6在R1上配置DHCPv6服務(wù)器功能[R1]dhcpenable[R1]dhcpv6poolpool1[R1-dhcpv6-pool-pool1]addressprefix2001::/64[R1-dhcpv6-pool-pool1]excluded-address2001::1[R1-dhcpv6-pool-pool1]quit[R1]interfaceGigabitEthernet0/0/0 [R1-GigabitEthernet0/0/0]dhcpv6serverpool1在R2的GE0/0/0接口配置自動獲取[R2]dhcpenable[R2]interfaceGigabitEthernet0/0/0[R2-GigabitEthernet0/0/0]ipv6addressautolink-local[R2-GigabitEthernet0/0/0]ipv6addressautodhcp結(jié)果驗(yàn)證[R2]displayipv6interfacebrief*down:administrativelydown(l):loopback(s):spoofingInterfacePhysicalProtocolGigabitEthernet0/0/0upup[IPv6Address]2001::2目錄9.1DHCP概述9.2DHCP基本原理與配置9.3DHCP中繼9.4DHCPSnooping9.5DHCPv69.6基本配置實(shí)驗(yàn)9.6.1基本配置實(shí)驗(yàn)由于公司網(wǎng)絡(luò)主機(jī)數(shù)量較多，使用靜態(tài)地址分配難以管理，因此需要架設(shè)DHCP服務(wù)器。實(shí)驗(yàn)拓?fù)淙鐖D所示?；A(chǔ)配置與IP編址給所有設(shè)備配置IP地址和掩碼[R1]interfaceGigabitEthernet0/0/2[R1-GigabitEthernet0/0/2]ipaddress10.0.12.124[R1-GigabitEthernet0/0/2]quit[R1]interfaceloopback0[R1-LoopBack0]ipaddress1.1.1.132[R2]interfaceGigabitEthernet0/0/2[R2-GigabitEthernet0/0/2]ipaddress10.0.12.224[R2-GigabitEthernet0/0/2]quit[R2]interfaceGigabitEthernet0/0/1[R2-GigabitEthernet0/0/1]ipaddress10.10.10.124[R3]interfaceGigabitEthernet0/0/1[R3-GigabitEthernet0/0/1]ipaddress192.168.1.124在R4的接口上配置DHCP客戶端，使用DHCP方式獲得IP地址[R4]dhcpenable[R4]interfaceGigabitEthernet0/0/1[R4-GigabitEthernet0/0/1]ipaddressdhcp-alloc驗(yàn)證R2和R1的互通[R1]ping10.0.12.2配置R1和R2之間的路由R1發(fā)布自己的環(huán)回口路由給R2，R2將自己連接LSW1的接口路由發(fā)布給R1，實(shí)現(xiàn)局域網(wǎng)網(wǎng)關(guān)和外網(wǎng)的互通：[R1]ospf1[R1-ospf-1]area0[R1-ospf-1-area-0.0.0.0]network1.1.1.10.0.0.0[R1-ospf-1-area-0.0.0.0]network10.0.12.00.0.0.255[R2]ospf1[R2-ospf-1]silent-interfaceGigabitEthernet0/0/1[R2-ospf-1]area0[R2-ospf-1-area-0.0.0.0]network10.10.10.00.0.0.255[R2-ospf-1-area-0.0.0.0]network10.0.12.00.0.0.255R2連接交換機(jī)的接口設(shè)置為silent接口，可以保證該網(wǎng)段的發(fā)布但不會在這個接口建立任何鄰居。驗(yàn)證兩個網(wǎng)絡(luò)的互通：[R2]ping–a10.10.10.11.1.1.1配置IPPoolR1分別在R1和R3上創(chuàng)建兩個地址池，R1的地址池范圍為10.10.10.0/24，網(wǎng)關(guān)為R2的GE0/0/1接口地址10.10.10.1，DNS地址使用1.1.1.1，為了保證該網(wǎng)絡(luò)中一些靜態(tài)地址不被分配，保留10.10.10.2-10不被DHCP動態(tài)分配。R3的地址池范圍為192.168.1.0/24，網(wǎng)關(guān)地址為R3的GE0/0/1接口地址192.168.1.1，DNS地址使用192.168.1.1，保留192.168.1.2-192.168.1.10不被DHCP動態(tài)分配，兩臺服務(wù)器的地址租期設(shè)置為3天。[R1]ippoolDHCP[R1-ip-pool-DHCP]gateway-list10.10.10.1[R1-ip-pool-DHCP]network10.10.10.0mask255.255.255.