HCIA-DHCP
1、定义：DHCP即动态主机配置协议，通过C/S模型架构，无需主机配置IP地址，自动分配网络配置参数的网络协议。
2、作用
| 对比项目 | 无 DHCP | 有 DHCP |
|---|---|---|
| 配置难度 | 配置多，容易出错 | 自动为客户端分配 IP 地址及其他网络配置参数（如子网掩码、默认网关、DNS 服务器地址等），简化网络配置 |
| 工作量 | 需要提前规划地址网段，手动逐台配置设备网络参数，工作量大 | 集中管理网络配置信息，减轻管理员工作量，提升工作效率 |
| 对工作地点不稳定设备的支持 | 工作地点不稳定时，需要多次配置 IP 地址 | 对于移动设备，在不同网络间切换时，可自动分配新网络配置参数，无需手动操作 |
| IP 地址利用率 | 地址利用率过低 | 动态分配 IP 地址，设备离线时收回其占用地址，可再分配给其他设备，避免地址浪费，提高地址资源利用率 |
3、相关概念
①DHCP服务器：运行DHCP服务的网络设备，负责管理地址池，地客户端分配网络配置参数。
②DHCP客户端：使用DHCP服务获取网络配置参数的设备，如手机、电脑等。
③IP地址池：DHCP服务器中可分配IP的地址范围，用于给客户端分配地址。
④租期：DHCP服务器分配的IP地址使用期限。
4、工作模式
①自动分配：DHCP服务器给客户端配置固定的IP，客户端每次获取地址都是该地址。
②动态分配：客户端从服务器中获取临时IP，租期内正常使用，到期后服务器收回重新分配。
③手工分配：需要管理员手动在服务器上为客户端指定一个固定IP。
5、工作原理
①发现阶段：客户端广播发送 DHCP Discover 报文找 DHCP 服务器，报文含客户端硬件地址。
②提供阶段：DHCP 服务器收到 Discover 报文，从地址池选择未分配 IP地址，通过 DHCP Offer 报文给客户端，包含子网掩码、租约期限等。
③请求阶段：客户端可能收到多个DHCP Offer 报文，通常选择第一个报文，且广播发 DHCP Request 报文，向对应服务器请求使用分配到 IP 、掩码等配置，根据报文中服务器 IP 可以表明是哪个服务器分配的配置。
④确认阶段：DHCP 服务器收到 Request 报文，检查 IP 是否可用。若可用发送DHCP Ack 报文确认，客户端获取网络配置信息进行通信；若IP不可用，发送DHCP Nak 报文告知失败，客户端需重发请求 。
6、DHCP中继
①作用：在网络中有多个子网时，当服务器与客户端不在同一个网段时，需要通过 DHCP 中继代理来转发 DHCP 报文，使客户端能够获取到地址
②工作原理：中继设备收到客户端的 DHCP Discover 报文，修改跳数、网关 IP 等字段后，转发给 DHCP 服务器所在子网。服务器处理报文后，把响应发给中继设备，中继代理再转给客户端。
7、DHCP安全问题
| 攻击类型 | 原理 | 危害 |
|---|---|---|
| DHCP 欺骗攻击 | 攻击者部署假 DHCP 服务器，抢在真服务器前响应客户端请求，分配错误网络配置参数 | 客户端连错网络，无法访问合法资源，还可能遭中间人攻击致信息被盗 |
| IP 地址耗尽攻击 | 攻击者用工具向 DHCP 服务器发大量请求，耗尽 IP 地址资源 | 合法客户端无法获 IP，不能接入网络，网络服务中断 |
| IP 地址冲突攻击 | 攻击者设与合法设备相同 IP 或让 DHCP 服务器分配重复 IP | 网络出现 IP 冲突，设备网络连接异常，通信受影响 |
| 信息泄露风险 | DHCP 交互时客户端发的含 MAC 地址等信息的报文，可能因网络漏洞被窃 | 攻击者收集信息进行网络拓扑发现、用户行为分析，实施针对性攻击 |
| 恶意 DHCP 选项注入 | 攻击者在 DHCP 报文中注入如错误路由、非法 DNS 地址等恶意选项字段 | 客户端按恶意选项配置后，网络访问异常，可能遭钓鱼攻击 |
防范措施
①网络设备安全配置
- 启用 DHCP Snooping：在交换机等设备启用，建信任列表，只许合法服务器报文通过，防非法服务器接入。
- 端口安全设置：配置网络端口，限制连接数、绑定 MAC 地址，防攻击者耗尽端口资源与 MAC 地址欺骗。
②DHCP 服务器安全配置
- 地址池管理：按网络规模需求合理规划地址池，留备用地址，定期检查清理，保证分配合理有效。
- 认证与授权：用用户名、密码或数字证书等认证客户端，通过后才能获取配置参数。
③网络监测与审计
- 部署网络监测工具：用网络流量分析、入侵检测系统等，实时监测 DHCP 流量和异常，及时告警安全威胁。
- 日志审计：详记审计 DHCP 服务器和网络设备日志，追溯安全事件，发现潜在问题和攻击。