计算机网络初探（二）：自动配置上网信息的DHCP服务器

发表于 | 分类于

一台计算机如果想要接入互联网，则必须要配置以下四项参数：

  • IP地址
  • 子网掩码
  • 缺省网关
  • DNS服务器IP地址

但通常我们利用网线连接路由器的网口或者连接上无线路由器WIFI之后，也没有手动配置过这些信息，但是我们就已经可以上网了，此时我们在命令行下运行ipconfig -all(Linux下运行ifconfig)就可以看到，以上所需的信息都已经自动配置完成了，这就是DHCP服务的功劳啦！

什么是DHCP

DHCP(Dynamic Host Configuration Protocol，动态主机配置协议) 是用于内部网络自动分配IP地址的网络协议。目前我们买到的路由器都具备DHCP服务器的功能，当我们连接上路由器后，我们的电脑就会在网络中寻找DHCP服务器，而DHCP服务器接收到消息后便会响应电脑的请求，分配空闲的IP地址给我们的电脑。

DHCP工作过程

1 客户端寻找DHCP服务器

当客户端首次连接上路由器时，并没有任何的IP地址设定，因此它将以广播（broadcast）的方式，采用UDP协议在网络中发送DHCP Discover报文来寻找DHCP服务器（目的端口68，源端口67）。网络中所有安装了TCP/IP协议的主机都会接收到这个消息，但是只有DHCP服务器会作出响应。

2 DHCP服务器给客户端分配IP参数

服务器接收到客户端发来的DHCP Discover报文，会从IP地址池中选择一个空闲的IP地址，对应的子网掩码、缺省网关、DNS服务器IP地址，以单播（unicast）的方式，采用UDP协议发送给客户端一个包含以上信息的DHCP Offer报文（目的端口67，源端口68）。

3 客户端接受IP参数

DHCP客户端接收到DHCP Offer报文，选择接收到的第一个信息（若网络中存在多个DHCP服务器，则只接收第一个收到的DHCP报文），以单播方式回答一个DHCP Request报文，里面包含其所选定的DHCP服务器请求IP地址的内容。

4 IP地址分配确认

DHCP服务器接收到DHCP客户端响应的DHCP Request报文后，便以单播的形式向客户端发送DHCP Ack报文，告诉客户端可以使用其提供的IP地址。客户端接收到DHCP Ack报文后，会尝试用获得的参数配置TCP/IP协议栈，同时还要尝试ARP广播请求自己IP对应的MAC地址，这个为了确定这个IP地址是唯一，不会引起IP冲突，若没有受到任何回复则可以完成配置工作。

DHCP中继代理

DHCP服务器正常工作，要求和客户端处于同一个网段内，若一个公司具有数十个子网，便需要数十个DHCP服务器，这是很浪费的。这个问题可以通过DHCP中继处理来解决。即在每个网段内有一个DHCP中继代理，之后将每个中继代理和DHCP服务器处于同一网段下即可，DHCP中继代理就充当让客户端与服务器相互发现彼此的中介机构。

DHCP中继代理的工作过程如下：

  1. 接受网段内DHCP广播报文
  2. 添加[中继代理 xx.xx.xx.xx]字段
  3. 将广播转单播发给DHCP服务器
  4. 接收DHCP服务器报文并法给客户端

DHCP优化

DHCP服务器能够实现上述功能，看上去已经很好了，但是仍然存在一些问题，但聪明的程序员已经想到了解决方案。

多DHCP服务共存

当多个网段处于同一个广播域下，存在多个DHCP服务器时，申请IP地址时，每个DHCP服务器都会响应客户端的报文，则客户端会以第一个收到的DHCP报文中包含的IP地址作为自己的IP地址，这在很多时候是不被允许的，客户端所处的网段是需要可控的。

解决方法 可利用VLAN（虚拟局域网）技术来解决，VLAN可以隔离广播，限制不同网段之间的访问，这样就可以有效的避免DHCP广播报文在不同网段内的传播，提高了安全性。

DHCP欺诈

由于DHCP就是通过DHCP报文来分配IP地址的，那么在网络下若存在一台计算机，伪造了大量的MAC地址，并利用这些地址发送DHCP报文申请IP地址，则地址资源就要被耗尽，会造成同一个网段下其他用户无法上网。

解决方法 DHCP窥探（DHCP Snooping）监视端口，当DHCP Discover信息经过的时候，会在原报文基础上增加一个安全选项[Option 82]，这里面记录了交换机名称、端口号等信息，这样若发现端口申请了多个IP，则拒绝继续分配IP地址。

ARP漏洞

计算机利用ARP广播协议在网络中发现彼此的MAC地址，若计算机A在发送ARP报文时，被网络中的一台伪造MAC地址的计算机B回答了，则本应发给目标计算机C的消息全部发送给了伪造MAC地址的计算机B，计算机B看到了内容之后再将消息转发给C，这样A和C之间的消息都被B给劫持了，这就是网络流量的劫持。

解决方法 同样利用DHCP窥探，在DHCP窥探时，会生成一张绑定表，里面记录了端口号、主机MAC地址、IP地址等信息，因此若发现报文中MAC地址、IP地址与端口号有任何一个不符合都被认为是欺诈行为。