DHCP安全管理

1、1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)網(wǎng)絡(luò)安全訪問控制DHCP安全管理一DHCP選項(xiàng)和消息類型二DHCP安全問題三DHCP存在問題的解決辦法1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP選項(xiàng)和消息類型 DHCP依賴于其可選項(xiàng)來提供真正的靈活性。正如你所看到的那樣，數(shù)據(jù)包的DHCP選項(xiàng)在大小和內(nèi)容上都可以變化。數(shù)據(jù)包的整體大小則取決于其所使用的選項(xiàng)。 所有DHCP數(shù)據(jù)包都需要的唯一選項(xiàng)就是消息類型選項(xiàng)（選項(xiàng)53)。這個(gè)選項(xiàng)標(biāo)識(shí)著DHCP客戶端或者服務(wù)器將如何處理數(shù)據(jù)包中的信息。在下表中給出了所定義的8種消

2、息類型。 1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP選項(xiàng)和消息類型類型號(hào)類型號(hào)消息類型消息類型發(fā)現(xiàn)客戶端用來定位可用的DHCP服務(wù)器提供服務(wù)器用來給客戶端發(fā)送發(fā)現(xiàn)數(shù)據(jù)包的響應(yīng)請(qǐng)求客戶端用來請(qǐng)求服務(wù)器所提供的參數(shù)拒絕客戶端向服務(wù)器指明數(shù)據(jù)包的無效參數(shù)ACK服務(wù)器向客戶端發(fā)送所請(qǐng)求的配置參數(shù)NAK客戶端向服務(wù)器拒絕其配置參數(shù)的請(qǐng)求釋放客戶端向服務(wù)器通過取消配置參數(shù)來取消租約通知當(dāng)客戶端已經(jīng)有IP地址時(shí)客戶端向服務(wù)器請(qǐng)求配置參數(shù)1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP安全問題1.DHCP Server的冒充。因?yàn)镈HCP服務(wù)器和客戶端之間沒有認(rèn)證機(jī)制，因

3、此如果隨意添置一臺(tái)DHCP服務(wù)器來處理客戶端發(fā)來的請(qǐng)求，客戶端也不會(huì)發(fā)現(xiàn)什么端倪。而假冒的服務(wù)器可以為客戶端分配錯(cuò)的IP地址和其他網(wǎng)絡(luò)參數(shù)，從而對(duì)網(wǎng)絡(luò)造成非常大的危害。1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP安全問題2.DHCP Starvation（耗竭攻擊）。DHCP服務(wù)器通過檢查客戶端發(fā)送過來的DHCP請(qǐng)求報(bào)文中的CHADDR（即客戶端的MAC）字段來判斷客戶端的MAC地址。不同的CHADDR在DHCP服務(wù)器看來代表不同的客戶端，因此如果攻擊者偽造了很多不同CHADDR的DHCP報(bào)文請(qǐng)，那么DHCP服務(wù)器就會(huì)不停地為這些虛假的MAC分配IP，導(dǎo)致SHCP服務(wù)器上的

4、地址被耗盡，從而無法為正常的用戶分配IP。1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP安全問題 一旦正常的SHCP服務(wù)器癱瘓了之后，攻擊者就會(huì)假冒DHCP服務(wù)器為正常用戶分配虛假的IP等網(wǎng)絡(luò)參數(shù)。而拿到錯(cuò)誤地客戶端所發(fā)送的數(shù)據(jù)全部送到了錯(cuò)誤的地址。在進(jìn)行金融方面的操作的時(shí)候可能客戶端拿到的就是錯(cuò)誤的IP，比如一些釣魚網(wǎng)站就是利用這個(gè)來進(jìn)行欺騙用戶的。1.二級(jí)標(biāo)題微軟雅黑28號(hào)一、一級(jí)標(biāo)題微軟雅黑加粗32號(hào)DHCP問題解決辦法解決辦法DHCP snooping（DHCP監(jiān)聽）基于DHCP監(jiān)聽有兩種實(shí)現(xiàn)方法：1.限速。將接受DHCP報(bào)文的速率限制在某個(gè)乏味內(nèi)，如每秒不超過10個(gè)包，這樣子就可以有效地避免DHCP地址池被耗盡。2.端口分類。將交換機(jī)的端口分為信任端口和非信任端口。信任端口是連接合法DHCP服務(wù)器的端口或者連接匯聚交換機(jī)的上行端口。非信任端口通常為連接終端設(shè)備的端口，如計(jì)算機(jī)等。連接在非信任端口的用戶只能發(fā)送DHCP請(qǐng)求，其余的消息就算用戶發(fā)送了出去，費(fèi)信任端口還是會(huì)丟棄掉，不做任何的處理。并且只有通過交換機(jī)檢查的DHCP請(qǐng)求才會(huì)被允許通過，如果DHCP請(qǐng)求報(bào)文中的源MAC地址和D