Dhcp что это такое

BOOTP/DHCP Parameters

Configuring DHCP Security Policy

You configure the DHCP services on these ports:

• DHCP requests from a DHCP client are sent as UDP unicasts or broadcasts with a source port of 68 and a destination port of 67.The source IP may be 0.0.0.0 if the client does not have an IP address yet.
• DHCP replies to a client are sent as UDP unicasts or broadcasts with a source port of 67 and a destination port of 68.
• DHCP relay traffic between relay and server is sent as UDP unicasts with source port of 67 and destination port of 67.

To configure DHCP Security Policy:

1. In the SmartDashboard, go to the Policy menu > Global Properties > Firewall.

   If the option Accept outgoing packets originating from gateway implied rule is selected, then from the drop-down menu, select Last or Before Last.

2. Create a new host object for the DHCP server.
   1. Enter the object name.
   2. Enter the IPv4 address of the DHCP server.
   3. Click OK.
3. Create a new host object for the Global Broadcast.

   The New Host window opens.

   1. Enter the object name
   2. Enter the IPv4 Address of 255.255.255.255.
   3. Click OK.
4. Create a new Client Network object.
   1. Enter the object name.
   2. Enter the Network address and Net mask, to which the DHCP clients are connected.
   3. Click OK.
5. Make sure that the legacy DHCP configuration does not exist:
   1. Delete/disable all security rules for DHCP traffic that use these legacy services:
   2. Delete/disable all manual NAT rules for legacy DHCP configuration. For more about NAT rules, see sk97566.
6. Configure the required Security Policy rules with the new DHCP services (dhcpv6-request and dhcpv6-reply).

   Note — . For its value, enter the name of the Security Gateway, which runs DHCP Relay.

   An example for a Rule Base with the DHCP relay services:

   Source IP	Destination IP	Service	Action	Description of the rule
   	Global_Broadcast			Source IP must be Any. A value of 0.0.0.0 does not work.
   <DHCP_Relay> Client Network	DHCP_Server			In some situations, the DHCP client sends some requests directly to the DHCP Server.
   <DHCP_Relay>	Client_Network Global_Broadcast			The replies can be unicast or broadcast based on the DHCP client options.
   DHCP_Server	Client_Network Global_Broadcast			The replies can be unicast or broadcast based on the DHCP client options. In some situations, the DHCP server sends some requests directly to the DHCP client.

7. Install Policy on the related Security Gateways.

Реализации

Компания Microsoft впервые включила сервер DHCP в поставку серверной версии Windows NT 3.5, выпущенной в 1994 году. Начиная с Windows 2000 Server, реализация DHCP-сервера от Microsoft позволяет динамически обновлять записи DNS, что используется в Active Directory.

Internet Systems Consortium выпустил первую версию ISC DHCP Server (для Unix-подобных систем) 6 декабря 1997 года. 22 июня 1999 года вышла версия 2.0, более точно соответствующая стандарту.

Компания Cisco включила сервер DHCP в Cisco IOS 12.0 в феврале 1999 года. Sun добавила DHCP-сервер в Solaris 8 в июле 2001 года.

В настоящее время существуют реализации сервера DHCP для ОС Windows в виде отдельных программ, в том числе открытых, позволяющих выполнять роль сервера DHCP компьютерам под управлением несерверных версий данной ОС.

Основная часть

Почему не поддерживается Microsoft Windows Server 2000/2003/2008?

1. Запрос от клиента отправляется Broadcast (DHCP Discover).
2. Оборудование (Nexus) отправляет пакет к DHCP серверу (DHCP Discover + Option 82).
3. DHCP Сервер принимает пакет обрабатывает, отправляет обратно, но без опции 82. (DHCP Offer – without option 82)
4. Оборудование (Nexus) принимает пакет от DHCP сервера. (DHCP Offer) Но не отправляет этот пакет к конечному пользователю.

Данные снифера — на Windows Server 2008 и на клиенте DHCPWindows Server 2008 получает запрос от сетевого оборудования. (Option 82 присутствует в списке)

Windows Server 2008 отправляет ответ к сетевому оборудованию. (Option 82 отсутствует в списке опций в пакете)

Запрос от клиента – присутствуют DHCP Discover и отсутствуют DHCP Offer

Статистика на сетевом оборудовании:

Почему в Microsoft Windows Server 2012 настройка такая сложная?

• Microsoft Windows Server 2012 есть супер-пул (SuperScope) в котором есть адреса Loopback и пулы для реальных сетей.
• Выбор пула для выдачи IP адреса попадает в SuperScope, т. к. ответ пришел от DHCP Relay с Source адреса Loopback, входящего в SuperScope.
• Используя Policy запрос выбирает из Superscope тот member scope, VNI которого содержится в Option 82 Suboption 1 Agent Circuit ID. (“0108000600”+ 24 бита VNI + 24 бита значения которых мне неизвестно, но сниффер показывает значения 0 в этом поле.)

Как упрощается настройка в Microsoft Windows Server 2016/2019?

• Можем ли обойтись без Superscope?
• Можем ли обойтись без Policy и перевода VNI в 16-тиричный вид?
• Можем ли обойтись без Scope для Loopback адресов DHCP Source?

Q.A.Q.A.Q.A.

• Создать пул для Source адресов Relay.
• Создать пул для клиентских сетей

• Создавать Policy
• Создавать SuperScope

ПримерПример настройки DHCP сервера (присутствуют 2 реальных клиента DHCP — клиенты подключены к VXLAN фабрике)

Пример настройки пользовательского пула:

Пример настройки пользовательского пула (выбраны политики — для доказательства что политики не использовались для корректной работы пула):

Пример настройки пула для Source адресов DHCP Relay (диапазон адресов для выдачи полностью соответствует исключению из пула адресов):Настройка DHCP сервиса на Microsoft Windows Server 2019

Настройка пула для Loopback адресов (source) для DHCP Relay.

Создаем новый пул (Scope) в пространстве IPv4.

Мастер создания пула. «Next >»

Настраиваем имя пула и описание (Description) пула.

Задаем диапазон IP адресов для Loopback и маску для пула.

Добавляем исключения. Диапазон исключений должен полностью совпадать с диапазоном пула.

Время аренды. «Next >»

Запрос: Будете настраивать DHCP опции сейчас (DNS, WINS, Gateway, Domain) или сделаете это позже. Быстрее будет ответить нет, и после активировать пул вручную. Либо пройти до конца не заполняя ни какую информацию и в конце мастера активировать пул.

Подтверждаем, что опции не настроены, пул не активирован. «Finish»

Активируем пул вручную. — Выбираем Scope и в контекстном меню — выбираем «Activate».

Создаем пул для пользователей/серверов.

Создаем новый пул.

Мастер создания пула. «Next >»

Настраиваем имя пула и описание (Description) пула.

Задаем диапазон IP адресов для Loopback и маску для пула.

Добавляем исключения. (По умолчанию исключений не требуется) «Next >»

Время аренды. «Next >»

Запрос: Будете настраивать DHCP опции сейчас (DNS, WINS, Gateway, Domain) или сделаете это позже. Да настроим сейчас.

Настраиваем адрес шлюза по умолчанию.

Настраиваем домен и адреса DNS серверов.

Настраиваем IP адреса WINS серверов.

Активация Scope.

Пул настроен. «Finish»

Преимущества

В большинстве случаев преимущества использования DHCP тесно связаны с его основной функцией.

1. Устройство, которому необходимо подключиться к сети, должно пройти соответствующую конфигурацию, чтобы правильно подключиться к данной сети. Поскольку DHCP обеспечивает автоматическую настройку, она была универсально использована почти в каждом устройстве, которое хочет подключиться к определенной сети. К ним относятся такие устройства, как компьютеры, коммутаторы, смартфоны, игровые консоли и множество других устройств.
2. Из-за динамического назначения IP-адресов в DHCP, шансы иметь один и тот же IP-адрес, что может привести к осложнениям, резко снижаются. Это также означает, что статические IP-адреса, управляемые вручную, проще запускать вручную.
3. Наличие DHCP также упростит управление и манипулирование сетью. Это связано с тем, что каждое устройство в сети имеет возможность получить IP-адрес, используя сетевые конфигурации по умолчанию, которые имеют автоматизированную систему, генерирующую IP-адрес. Единственной альтернативой этому является ручное присвоение адресов каждому из устройств и компьютеров в этой сети.
4. Поскольку устройства в сети могут автоматически получать IP-адреса, они могут свободно перемещаться с одного устройства на другое без особых усилий. На самом деле это очень полезно, когда речь идет о небольших портативных устройствах, используемых на рабочем месте.
5. Обычно, когда устройство получает IP-адрес, сгенерированный DHCP-сервером, этот IP-адрес будет постепенно удаляться другим устройством при каждом новом подключении к сети.

Существует множество различных преимуществ использования DHCP, и, конечно, есть и несколько недостатков. Однако, недостатки на самом деле весьма специфичны и могут никак не повлиять на пользователя. Примером может служить ситуация, когда пользователю нужен определенный IP-адрес вручную. Перед назначением устройства с новым IP-адресом сетевому администратору потребуется пройти ряд процедур, например, проверить, доступен ли IP-адрес. На самом деле это занимает некоторое время, но не так уж и часто. Изменяющиеся динамические IP-адреса не должны использоваться в специальных устройствах, которые обычно стационарны и не портативны, таких как принтеры и файловые серверы.

Хотя эти устройства обычно используются большим количеством людей в офисе, на самом деле довольно непрактично, чтобы эти стационарные устройства имели постоянно меняющийся IP-адрес. Наличие постоянно меняющегося IP-адреса для стационарных устройств только усложнит ситуацию.

dhcp relay настройка

cisco dhcp relay в двух словах это ретранслятор, который отлавливает пакеты DHCPDISCOVER и перенаправляет их DHCP серверу, за счет этого можно уменьшить количество DHCP серверов. Приступим и настроим наш dhcp relay.

int gi0/0.2 ip helper-address 192.168.4.1 exit Router(config)#int gi0/0.3 ip helper-address 192.168.4.1 exit do wr mem

Теперь у нас в каждом vlan появился ретранслятор на наш dhcp сервер.  Так же в целях безопасности вы можете настроить, чтобы у вас доверенным был только определенный dhcp сервер с определенного порта, а все остальные будут игнорироваться. Возьмем за тест компьютер со статическим ip 192.168.2.1, посмотрим текущие настройки сети командой ipconfig, ставим автоматическое получение, и видим что получили 192.168.2.50. DHCP в vlan2 работает.

Пример исполнения алгоритма[править]

   TIME: 2016-12-11 21:33:51.313
   IP: 0.0.0.0 (6c:71:d9:56:a5:e3) > 255.255.255.255 (ff:ff:ff:ff:ff:ff)
   OP: 1 (BOOTPREQUEST)
   HTYPE: 1 (Ethernet)
   HLEN: 6
   HOPS: 0
   XID: bda4bd67
   SECS: 0
   FLAGS: 0
   CIADDR: 0.0.0.0
   YIADDR: 0.0.0.0
   SIADDR: 0.0.0.0
   GIADDR: 0.0.0.0
   CHADDR: 6c:71:d9:56:a5:e3:00:00:00:00:00:00:00:00:00:00
   SNAME: .
   FNAME: .
   OPTION:  53 (  1) DHCP message type         1 (DHCPDISCOVER)
   OPTION:  12 (  5) Host name                 omnom
   OPTION:  55 ( 13) Parameter Request List     
     1 (Subnet mask)
     28 (Broadcast address)
     2 (Time offset)
     3 (Routers)
     15 (Domainname)
     6 (DNS server)
     119 (Domain Search)      
     12 (Host name)
     44 (NetBIOS name server)
     47 (NetBIOS scope)
     26 (Interface MTU)
     121 (Classless Static Route)
     42 (NTP servers)

DHCPOFFER

   TIME: 2016-12-11 21:33:51.613
   IP: 192.168.10.1 (c8:3a:35:c:e5:30) > 255.255.255.255 (ff:ff:ff:ff:ff:ff)
   OP: 2 (BOOTPREPLY)
   HTYPE: 1 (Ethernet)
   HLEN: 6
   HOPS: 0
   XID: bda4bd67
   SECS: 0
   FLAGS: 0
   CIADDR: 0.0.0.0
   YIADDR: 192.168.10.101
   SIADDR: 0.0.0.0
   GIADDR: 0.0.0.0
   CHADDR: 6c:71:d9:56:a5:e3:00:00:00:00:00:00:00:00:00:00
   SNAME: .
   FNAME: .
   OPTION:  53 (  1) DHCP message type         2 (DHCPOFFER)
   OPTION:  54 (  4) Server identifier         192.168.10.1
   OPTION:  51 (  4) IP address leasetime      86140 (23h55m40s)
   OPTION:   1 (  4) Subnet mask               255.255.255.0
   OPTION:   3 (  4) Routers                   192.168.10.1
   OPTION:   6 (  4) DNS server                192.168.0.1

DHCPREQUEST

   TIME: 2016-12-11 21:33:51.614
   IP: 0.0.0.0 (6c:71:d9:56:a5:e3) > 255.255.255.255 (ff:ff:ff:ff:ff:ff)
   OP: 1 (BOOTPREQUEST)
   HTYPE: 1 (Ethernet)
   HLEN: 6
   HOPS: 0
   XID: bda4bd67
   SECS: 0
   FLAGS: 0
   CIADDR: 0.0.0.0
   YIADDR: 0.0.0.0
   SIADDR: 0.0.0.0
   GIADDR: 0.0.0.0
   CHADDR: 6c:71:d9:56:a5:e3:00:00:00:00:00:00:00:00:00:00
   SNAME: .
   FNAME: .
   OPTION:  53 (  1) DHCP message type         3 (DHCPREQUEST)
   OPTION:  54 (  4) Server identifier         192.168.10.1
   OPTION:  50 (  4) Request IP address        192.168.10.101
   OPTION:  12 (  5) Host name                 omnom
   OPTION:  55 ( 13) Parameter Request List     
     1 (Subnet mask)
     28 (Broadcast address)
     2 (Time offset)
     3 (Routers)
     15 (Domainname)
     6 (DNS server)
     119 (Domain Search)
     12 (Host name)
     44 (NetBIOS name server)
     47 (NetBIOS scope)
     26 (Interface MTU)
     121 (Classless Static Route)
     42 (NTP servers)

DHCPACK

Настройка BranchCache в сети на базе Windows Server 2012 и Windows 8

Разберем практический пример использования технологии BranchCache  с выделенным кэш-сервером (режим hosted cache).

Предположим, у нас имеется домен из двух сайтов – «Центральный», «Региональный». В центральном филиале находится некий файл сервер, с которым работают пользователи филиала. В сети филиала находится отдельный сервер, который, в том числе, возможно задействовать под задачи кэширования данных (hosted cache). Предполагается, что все сервера работают под управлением Windows Server 2012, а на клиентах стоит Windows 8 Pro.

Примечание. Для корректной работы BranchCache  необходимо правильно настроить сайты Active Directory и их подсети.

Настройка центрального файлового сервера

Установим на центральном файловом сервере компонент BranchCache. Проще всего это сделать с помощью Powershell:

Install-WindowsFeature FS-BranchCache –IncludeManagementTools

После чего сервер необходимо перезагрузить:

Restart-Computer

Следующий шаг – необходимо включить на файловом сервере генерацию хешей для данных в общих папках. Сделать это можно с помощью групповой политики, которую необходимо применить к файловому серверу.

Разверните раздел Computer Configuration -> Policies -> Administrative Templates -> Network -> Lanman Server и активируйте политики: Hash Publication for BranchCache и Hash Version support for BranchCache.

Примените данную политику к файловому серверу:

gpupdate /force

Затем с помощью GUI активируем BranchCache для выбранной общей папки (в свойствах шары достаточно отметить опцию «Enable BranchCache»).

На этом операции с центральным севером завершены, а мы переходим к настройке инфраструктуры BranchCache в сети филиала.

Настройка кеширующего сервера BranchCache на Windows 2012

Итак, мы решили задействовать один из серверов филиала (на Windows Server 2012) в качестве кэширующего сервера BranchCache. Естественно, мы подразумеваем, что данный сервер не является выделенным под эту задачу, а сочетает ее с одной продуктивных функций.  Установим модуль BranchCache следующей командной Powershell:

Install-WindowsFeature BranchCache –IncludeManagementTools

Далее необходимо указать, что сервер будет работать в режиме выделенного сервера BC (Hosted Server): В том случае, если сервер включен в домен Active Directory, выполните команду, которая в том числе активирует автоматическое определение клиентов BranchCache:

Enable-BCHostedServer –RegisterSCP

Если сервер не в домене, выполните:

Enable-BCHostedServer

Проверить, что все прошло успешно и данный сервер может работать в качестве кэширующего сервера BranchCache, выполните команду:

Get-BCStatus

Команда должна вернуть примерно следующее:

И немного ниже:

Настройка клиентов Branch Cache на Windows 8

Переходим к настройкам компьютеров филиала с ОС Windows 8, которые будут пользоваться преимуществами технологии BranchCache. Как всегда, проще всего это сделать с помощью групповой политики.  Создайте и прилинкуйте политику к OU с компьютерами филиала (в случае необходимости можно отграничить применение политик,  включив wmi фильтрацию).

Откройте редактор политики и перейдите в раздел: Computer Configuration -> Policies ->  Administrative Templates ->  Network -> BranchCache и активируйте следующие политики:

• Turn on BranchCache
• Set BranchCache Disributed Cache Mode
• Enable Automatic Hosted Cache Discovery by Service Connection Point

Включив одновременно «Distributed cache mode» и «Automatic hosted cache discovery», мы отправим клиентов искать сервер hosted cache в Active Directory. Они должны обнаружить локальный кэширующий сервер BC, а если таковой отсутствует – задействовать механизм распределенного кэша (distributed mode).

Примечание. В том случае, если на клиентах включен файервол Windows, необходимо политикой разрешить исходящий и входящий трафик BranchCache – правила  Content Retrieval (Uses HTTP) и BranchCache – Peer Discovery (Uses WSD)

Осталось применить политики на клиентах и перезапустить службу BrachCache:

Restart-Service PeerDistSvc

Проверим статус BrachCache

Get-BCStatus

Убедимся, что клиенты увидели выделенный hosted cache сервер и настроены на его использование.

Теперь в случае открытия любым пользователем данных из общей папки на центральном файловом сервере, они автоматически будут кэшироваться на сервере филиала и в дальнейшем при попытке открыть этот же файл, другие пользователи будут получать локальную копию данных, не прокачивая их заново  по WAN-сети.

[править] Конфигурационные файлы

DHCP-сервер

Конфигурационный файл DHCP-сервера:

ddns-update-style none;
default-lease-time 600;
max-lease-time 7200;
log-facility local7;

subnet 192.168.25.0 netmask 255.255.255.0 {
  range 192.168.25.200 192.168.25.220;
  option routers 192.168.25.254;
}

subnet 192.168.10.0 netmask 255.255.255.0 {
  range 192.168.10.10 192.168.10.15;
  option routers 192.168.10.1;
}

subnet 192.168.30.0 netmask 255.255.255.0 {
  range 192.168.30.10 192.168.30.15;
  option routers 192.168.30.1;
}

Коммутаторы ProCurve

Конфигурация sw1:

; J4906A Configuration Editor; Created on release #M.10.41

hostname "sw1"
vlan 1 
   name "DEFAULT_VLAN" 
   untagged 2-6,8-48 
   ip address dhcp-bootp 
   no untagged 1,7 
   exit 
vlan 10 
   name "VLAN10" 
   untagged 1 
   tagged 24 
   exit 
vlan 30 
   name "VLAN30" 
   untagged 7 
   tagged 24 
   exit 

# Включение DHCP snooping
dhcp-snooping

# Включение DHCP snooping в VLAN'ах 1, 10, 30
dhcp-snooping vlan 1 10 30 

# Настройка 24 порта доверенным
interface 24
   dhcp-snooping trust
   exit

Конфигурация sw2:

; J8697A Configuration Editor; Created on release #K.13.23

hostname "sw2"
module 1 type J8705A
interface A10
   disable   
exit
ip routing   
snmp-server community "public" Unrestricted
vlan 1
   name "DEFAULT_VLAN"
   untagged A2-A24
   ip address dhcp-bootp
   no untagged A1
   exit
vlan 10
   name "VLAN10"

# По умолчанию на коммутаторе включен DHCP-ретранслятор.
# ip helper-address указывает куда перенаправлять DHCP-запросы. 
# 192.168.25.254 — адрес DHCP-сервера.
# Теперь все DHCP-запросы полученные в этом VLAN будут перенаправлены на адрес 192.168.25.254.
   ip helper-address 192.168.25.254 
   ip address 192.168.10.1 255.255.255.0 
   tagged A5 
   exit 
vlan 30 
   name "VLAN30" 

# ip helper-address указывает куда перенаправлять DHCP-запросы. 
   ip helper-address 192.168.25.254 
   ip address 192.168.30.1 255.255.255.0 
   tagged A5 
   exit 
vlan 25 
   name "VLAN25" 
   untagged A1 
   ip address 192.168.25.1 255.255.255.0 
   exit 

# Включение DHCP snooping
dhcp-snooping

# Задание адреса авторизованного DHCP-сервера
dhcp-snooping authorized-server 192.168.25.254

# Настройка политики обработки опции 82. 
# Так как на коммутаторе sw1 включен DHCP snooping, 
# то на коммутатор sw2 DHCP-запросы приходят с опцией 82. 
# По умолчанию коммутатор такие пакеты отбрасывает. 
# Эта политика указывает, что опцию 82 в пришедших пакетах надо заменить.
dhcp-snooping option 82 untrusted-policy replace

# Включение DHCP snooping в VLAN'ах 1, 10, 25, 30
dhcp-snooping vlan 1 10 25 30 

# Настройка порта a1 доверенным
interface A1
   dhcp-snooping trust
   exit

Проверка параметров IP подключения Ethernet или Wi-Fi

Еще один вариант — проверить параметры настройки IP вручную и изменить их при необходимости. После выполнения изменений, указанных в отдельных пунктах далее, проверяйте, была ли устранена проблема.

1. Нажмите клавиши Win+R на клавиатуре и введите ncpa.cpl
2. Кликните правой кнопкой мыши по соединению, для которого нет допустимых параметров настройки IP и выберите пункт «Свойства» в контекстном меню.
3. В окне свойств в списке протоколов выберите «Протокол интернета версии 4»  и откройте его свойства.
4. Проверьте — установлено ли автоматическое получение IP адреса и адресов DNS серверов. Для большинства провайдеров это должно быть так (но если ваше подключение использует Static IP, то менять этого не нужно). 
5. Попробуйте вручную прописать DNS серверы 8.8.8.8 и 8.8.4.4
6. Если вы подключаетесь через Wi-Fi роутер, то попробуйте вместо «получать IP автоматически» вручную прописать IP адрес — тот же, что у роутера, с измененным последним числом. Т.е. если адрес роутера, например, 192.168.1.1, пробуем прописать IP 192.168.1.xx (лучше не используйте в качестве этого числа 2, 3 и другие близкие к единице — они могут уже быть выделены другим устройствам), маска подсети установится автоматически, а основной шлюз — адрес роутера.
7. В окне свойств подключения попробуйте выключить TCP/IPv6.

Если же ничто из этого не оказалось полезным, попробуйте варианты из следующего раздела.

Выводы

Способы противодействия:

1. DHCP snooping — функция коммутатора, предназначенная для защиты от атак с использованием протокола DHCP. Например, атаки с подменой DHCP-сервера в сети;

2. Port security — функция коммутатора, позволяющая указать MAC-адреса хостов, которым разрешено передавать данные через порт. После этого порт не передает пакеты, если MAC-адрес отправителя не указан как разрешенный;

3. Настройка сетевого оборудования с целью ограничения количества DHCPDISCOVER и DHCPREQUEST запросов с одного MAC-адреса и/или IP-адреса;

4. Запись и анализ трафика в сети для отслеживания аномалий. Например, обычное количество DHCP-запросов в вашей сети не превышает 100-200 в день, а во время атаки DHCP starvation их число увеличивается многократно. Еще один пример: обычно в вашей сети количество DHCP-ответов не превышает количества DHCP-запросов, а теперь количество DHCP-ответов стало вдвое больше DHCP-запросов. Это значит, что кто-то производит атаку с подменой DHCP-сервера;

5. Использование IDS, IPS, SIEM и систем мониторинга оборудования типа Zabbix;

6. По возможности использовать статическую привязку MAC — IP на DHCP сервере;

7. Использовать DHCP-ретрансляторы и DHCP-сервера поддерживающие DHCP опцию с кодом ;

8. Непрерывное обновления программного обеспечения. Обновить хосты можно и так 🙂