当前位置：文档之家 › 01-DHCP安全特性配置案例

01-DHCP安全特性配置案例

  • 格式：pdf
  • 大小：197.39 KB
  • 文档页数：10

MSR系列路由器配置案例内部公开DHCP安全特性配置举例Hangzhou H3C Technologies Co., Ltd.杭州华三通信技术有限公司All rights reserved版权所有侵权必究DHCP配置举例目录目录1介绍 (2)2使用指南 (2)2.1使用场合 (2)2.2配置指南 (2)2.3注意事项 (3)3DHCP配置举例 (3)3.1组网需求 (3)3.2使用版本 (4)3.3配置步骤 (4)3.3.1配置路由器Router1 (4)3.3.2配置路由器Router2 (5)3.3.3配置路由器Router3 (6)3.3.4配置客户端PC（以WINDOWS XP为例）通过DHCP方式获取地址 (8)3.4验证结果 (8)4相关资料 (9)4.1相关协议和标准 (9)4.2其它相关资料 (9)1/29/2008 版权所有，侵权必究第1页DHCP安全特性配置举例关键词：DHCP缩略语：缩略语英文全名中文解释DHCP Dynamic Host Configuration Protocol 动态主机配置协议1 介绍DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）采用客户端/服务器通信模式，是一种客户端向服务器提出配置申请，服务器返回IP地址等相应的配置信息，以获得IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机）。

2 使用指南2.1 使用场合在网络中，合法的DHCP服务器是可以信任的，而私自设置的DHCP服务器是不可信任的。

为使配置管理员及时监听到不合法服务器，了解客户端获取的地址信息，可以在DHCP网络中添加Server和Relay的伪服务器检测功能、Relay的地址匹配检查功能，以及添加DHCP Snooping安全特性设备，来保证一定的安全防备措施。

2.2 配置指南1) 对DHCP服务器进行相应的DHCP服务使能和地址池配置，为使配置管理员能够及时发现网络中的其它服务器，可以使能DHCP服务器和中继对于伪服务器的探测功能。

2) 对跨网段时的中继设备进行DHCP Relay的中继转发和地址匹配检查特性设置，防止静态加入的客户端通过中继访问外部网络。

1/29/2008 版权所有，侵权必究第2页3) 对于安全考虑的DHCP Snooping必须对已知的合法DHCP服务器端进行端口的开放，其它未知或连接非法的DHCP服务器端进行关闭，防止非法DHCP服务器给客户端分配地址。

2.3 注意事项1) Server和Relay的伪服务器检测功能打开后，将通过监听DHCP报文来记录网络中包括合法服务器在内的任何DHCP服务器地址，以trap信息形式告知配置管理员。

但相同的服务器地址只记录和上报一次。

2) DHCP Relay在中继接口上使能地址匹配检查功能后，如果客户端主机IP地址与其MAC地址的对应关系没有在DHCP中继的用户地址表中（包括DHCP中继动态记录的表项以及手工配置的用户地址表项），则客户端主机将不能通过DHCP中继访问外部网络，以此可以防止非法主机静态配置一个IP地址并访问其他网络。

3) DHCP Snooping必须在连接合法服务器的端口上设置为信任端口，使合法服务器为客户端正常分配地址；在连接非法服务器的端口上设置为不信任端口，来防止非法服务器给客户端分配地址。

4) 路由器上DHCP Snooping功能目前只支持在16口或24口交换板卡的二层以太网接口上配置。

5) 设备的DHCP Snooping功能与DHCP服务不能同时配置。

6) DHCP Snooping设备建议放置在最靠近客户端的网络环境中。

7) BOOTP客户端也可以在该环境中从Server获取地址，但DHCP Snooping安全特性对于BOOTP协议失效。

3 DHCP配置举例3.1 组网需求客户端PC的网络接口卡，通过插有16口二层交换卡的路由器连接到DHCP服务器所在的网络。

要求PC只能从合法的DHCP服务器Router1上动态申请到IP地址等相关配置信息，而不能让网络Network1和Network2中私设的DHCP Server分配地址，或者一旦发生其它服务器给客户端分配地址的情况，配置管理员需要及时知道。

并且可以通过Router2访问DHCP Server所在的Network1网络。

1/29/2008 版权所有，侵权必究第3页1/29/2008 版权所有，侵权必究第4页图 1 同一子网内动态地址分配组网图3.2 使用版本Router2、Router3和Router1使用相同的版本。

<Router1>display versionH3C Comware Platform SoftwareComware software, Version 5.20, Release 1206, StandardCopyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved. H3C MSR30-60 uptime is 0 week, 1 day, 23 hours, 21 minutes Last reboot 2007/07/02 09:30:14 System returned to ROM By Power-up .3.3 配置步骤3.3.1 配置路由器Router11. 配置信息<Router1>display current-configuration #version 5.20, Release 1206， Standard #sysname Router1 #domain default enable system #vlan 1 #domain systemaccess-limit disable state activeidle-cut disableself-service-url disable #dhcp server ip-pool 1network 10.10.0.0 mask 255.255.0.0 gateway-list 10.10.0.1 dns-list 10.10.0.20domain-name nbns-list 10.10.1.1 10.10.2.2 10.10.3.3 10.10.4.4 expired day 2 hour 2 minute 30 #interface Aux0 async mode flow link-protocol ppp #interface Ethernet0/0 port link-mode routeip address 2.1.1.1 255.255.255.0#interface Ethernet0/1port link-mode route#interface NULL0#interface LoopBack0ip address 6.6.0.1 255.255.255.255#ip route-static 10.10.0.0 255.255.0.0 2.1.1.2#dhcp server detect#dhcp enable#user-interface con 0idle-timeout 0 0user-interface aux 0user-interface vty 0 4authentication-mode scheme#return2. 主要配置步骤1) 使能DHCP服务<Router1> system-view[Router1] dhcp enable2) 配置伪服务器检测功能[Router1] dhcp server detect3) 配置接口地址[Router1] interface ethernet0/0[Router1-Ethernet0/0] ip address 2.1.1.1 244) 配置准备给客户端PC分配动态地址的地址池[Router1] dhcp server ip-pool 1[Router1-dhcp-pool-1] network 10.10.0.0 16[Router1-dhcp-pool-1] expired day 2 hour 12 minute 30[Router1-dhcp-pool-1] gateway-list 10.10.0.1[Router1-dhcp-pool-1] dns-list 10.10.0.20[Router1-dhcp-pool-1] nbns-list 10.10.1.1 10.10.2.2 10.10.3.3 10.10.4.4[Router1-dhcp-pool-1] domain-name 5) 配置能够到达中继和客户端网段的静态路由[Router1] ip route-static 10.10.0.0 16 2.1.1.23.3.2 配置路由器Router21. 配置信息<Router2>display current-configuration#version 5.20, Release 1206, Standard#sysname Router2#dhcp relay server-group 1 ip 3.3.0.1dhcp relay server-detect#domain default enable system#vlan 1#domain systemaccess-limit disablestate activeidle-cut disableself-service-url disable1/29/2008 版权所有，侵权必究第5页#interface Aux0async mode flowlink-protocol ppp#interface NULL0#interface Ethernet0/0port link-mode routeip address 10.10.0.1 255.255.0.0dhcp select relaydhcp relay server-select 1dhcp relay address-check enable#interface GEthernet0/1port link-mode routeip address 2.1.1.2 255.255.255.0#dhcp enable#user-interface con 0idle-timeout 0 0user-interface aux 0user-interface vty 0 4#return2. 主要配置步骤1) 使能DHCP服务<Router1> system-view[Router1] dhcp enable2) 配置伪服务器检测功能[Router1] dhcp relay server-detect3) 配置服务器组[Router1] dhcp relay server-group 1 ip 2.1.1.14) 配置接口地址，并在与客户端相连的接口上选择中继模式和对应的服务器组[Router1] interface ethernet0/1[Router1-Ethernet0/1] ip address 2.1.1.2 24[Router1-Ethernet0/0] interface ethernet0/0[Router1-Ethernet0/0] ip address 10.10.0.1 16[Router1-Ethernet0/0] dhcp select relay[Router1-Ethernet0/0] dhcp relay server-select 15) 配置地址匹配检查功能[Router1-Ethernet0/0] dhcp relay address-check enable3.3.3 配置路由器Router31. 配置信息<Router3>display current-configuration#version 5.20, Beta 1501L02, Standard#sysname Router3#domain default enable system#dhcp-snooping#vlan 1#vlan 2 to 3#domain systemaccess-limit disablestate active1/29/2008 版权所有，侵权必究第6页idle-cut disableself-service-url disable#interface Aux0async mode flowlink-protocol ppp#interface NULL0#interface Ethernet5/0port link-mode bridge#interface Ethernet5/1port link-mode bridge#interface Ethernet5/2port link-mode bridge#interface Ethernet5/3port link-mode bridge#interface Ethernet5/4port link-mode bridge#interface Ethernet5/5port link-mode bridge#interface Ethernet5/6port link-mode bridge#interface Ethernet5/7port link-mode bridge#interface Ethernet5/8port link-mode bridge#interface Ethernet5/9port link-mode bridgedhcp-snooping trust#interface Ethernet5/10port link-mode bridge#interface Ethernet5/11port link-mode bridge#interface Ethernet5/12port link-mode bridge#interface Ethernet5/13port link-mode bridge#interface Ethernet5/14port link-mode bridge#interface Ethernet5/15port link-mode bridge#interface GigabitEthernet0/0port link-mode route#interface GigabitEthernet0/1port link-mode route#user-interface con 0idle-timeout 0 0user-interface aux 0user-interface vty 0 4authentication-mode scheme#return1/29/2008 版权所有，侵权必究第7页2. 主要配置步骤1) 使能DHCP Snooping服务<Router3> system-view[Router3] dhcp-snooping2) 为阻止非法DHCP服务器从其它端口提供DHCP服务，只将连接合法DHCP服务器的端口设置为信任端口，其它端口为默认的不信任端口：[Router3] interface ethernet5/9[Router1-Ethernet5/9] dhcp-snooping trust3.3.4 配置客户端PC（以WINDOWS XP为例）通过DHCP方式获取地址右击桌面“网上邻居”－> 单击“属性”—>进入“网络连接”窗口，右击“本地连接”－> 单击“属性”—>进入“本地连接属性”窗口，选择适当的“连接时使用”的网卡，选择“Internet协议（TCP/IP）”，点击“属性”－> 进入“Internet协议（TCP/IP）属性”窗口，选择“自动获得IP地址”和“自动获得DNS服务器地址”即可。

合集下载

DHCP协议的IP地址分配安全

DHCP协议的IP地址分配安全

DHCP协议的IP地址分配安全DHCP（动态主机配置协议）是一种网络协议，它允许网络管理员管理和分配IP地址给网络上的计算机设备。

然而，由于其动态性质，DHCP协议也带来了一些安全风险。

本文将探讨DHCP协议的IP地址分配安全，并提供一些保护DHCP环境的最佳实践。

1. DHCP协议的工作原理DHCP协议通过将IP地址、子网掩码、默认网关等网络配置信息从服务器发送到客户端，实现自动的IP地址分配。

对于动态网络环境，DHCP协议提供了灵活性和便利性。

然而，由于其工作原理，在未经适当保护的情况下，DHCP协议可能会面临如下几个安全问题。

2. IP地址冲突在DHCP环境中，如果多个客户端设备被分配了相同的IP地址，就会导致IP地址冲突。

这将使网络不稳定，甚至可能导致无法连接到网络。

为了防止IP地址冲突，网络管理员可以考虑使用IP地址冲突检测工具或DHCP服务器的冲突检测功能。

3. 未经授权的IP地址分配DHCP服务器通常会预留一定数量的IP地址用于分配给客户端设备。

然而，如果未经授权的设备接入网络并获取了DHCP服务器分配的IP地址，可能会导致网络资源被滥用或攻击。

为了防止未经授权的IP地址分配，网络管理员可以通过启用DHCP Snooping功能来限制只有经过认证的设备才能获取IP地址。

4. DHCP服务器的欺骗攻击DHCP服务器的欺骗攻击是一种常见的网络攻击方式，攻击者会伪装成合法的DHCP服务器，向客户端设备发送虚假的网络配置信息。

这可能导致客户端设备连接到恶意网络，或者将其重定向到攻击者控制的服务器。

为了防止DHCP服务器的欺骗攻击，网络管理员可以使用DHCP认证或DHCP安全选项来确保只有合法的DHCP服务器可以与客户端设备进行通信。

5. DHCP消息的窃听和篡改DHCP消息的窃听和篡改可能会导致敏感信息泄露或网络配置被恶意篡改。

为了确保DHCP消息的机密性和完整性，网络管理员可以使用IPSec等安全协议对DHCP消息进行加密和身份验证。

dhcp安全问题及防范措施

dhcp安全问题及防范措施

dhcp安全问题及防范措施
DHCP（Dynamic Host Configuration Protocol）是一种网络协议，用于自动分配IP地址、子网掩码、默认网关等网络配置信息给
客户端设备。

然而，由于其工作方式的特点，DHCP也存在一些安全
问题，如下：
1. DHCP劫持：攻击者可以通过在网络上部署恶意的DHCP服务
器来欺骗客户端设备，从而获取受害者的网络流量或篡改其网络设置。

2. IP地址冲突：当两个设备同时被分配了相同的IP地址时，
会导致网络中断或通信故障。

3. 资源耗尽：攻击者可以通过大量请求DHCP分配的IP地址，
使得DHCP服务器资源耗尽，导致正常设备无法获取IP地址。

为了防范这些安全问题，可以采取以下措施：
1. 使用DHCP Snooping：通过启用DHCP Snooping功能，可以
限制DHCP服务器只能响应经过认证的端口请求，防止未经授权的DHCP服务器攻击。

2. 使用静态IP地址分配：对于一些重要的网络设备，可以手动配置静态IP地址，避免使用DHCP分配的动态IP地址，减少IP地址冲突的可能性。

3. 限制DHCP服务器范围：在DHCP服务器上设置IP地址分配范围，并限制分配数量，避免资源耗尽问题。

4. 配置DHCP服务器认证：通过在DHCP服务器上配置用户认证，只允许授权的用户请求并获取IP地址。

5. 定期更新DHCP服务器软件：及时安装最新的DHCP服务器软件补丁，修复已知的安全漏洞，提高系统的安全性。

总之，通过合理的配置和使用DHCP服务器，结合以上防范措施，可以有效降低DHCP安全问题的风险。

神州数码DHCP的配置与分析.dh

神州数码DHCP的配置与分析.dh


04 DHCP安全性分析
CHAPTER
DHCP安全性问题
地址池耗尽
如果DHCP服务器未正确配置，地址池中的 IP地址可能会被耗尽，导致无法为新的客户 端分配IP地址。
非法接入
未经授权的客户端可能通过DHCP获取IP地址，从 而非法接入网络，对网络安全构成威胁。
拒绝服务攻击
攻击者可能会发送大量虚假DHCP请求，耗 尽地址池中的IP地址，导致合法用户无法获 取IP地址。
DHCP客户端与服务器通信问题
DHCP客户端无法与DHCP服务器进行正常的通信。
这可能是由于网络设备故障、网络配置错误或通信协议问题引起的。为了解决这个问题，需要检查网 络设备和网络配置是否正确，并确保DHCP客户端和服务器之间的通信协议一致。此外，还可以尝试 重启网络设备和客户端计算机，以排除临时性故障。
05 神州数码DHCP应用场景分析
CHAPTER
企业网络环境中的应用
企业网络环境中的IP地址管理
神州数码DHCP可以提供动态IP地址分配服务，有效管理企业网络中的IP地址，避免IP 地址冲突和浪费。
简化网络管理
通过神州数码DHCP，企业可以简化网络设备配置和管理流程，降低网络管理成本。
提高网络安全
03 启用DHCP服务，并确保服务器的网络连接正常
配置DHCP客户端
01
安装神州数码DHCP客户端软件
02
配置客户端参数，包括IP地址、子网掩码、默认网关 等
03
启动DHCP客户端，并确保与服务器之间的网络连接 正常
配置DHCP中继
01
配置中继参数，包括中继地址、目标服务器地址等
02
启用DHCP中继服务，确保中继设备能够转发DHCP
华为_MA5100(MA5103) 操作手册_02-业务配置01-13 安全特性配置

华为_MA5100(MA5103) 操作手册_02-业务配置01-13 安全特性配置

目录13 安全特性配置 .............................................................................................................................. 13-113.1 概述......................................................................................................................................................... 13-213.2 相关概念 ................................................................................................................................................ 13-313.3 设置地址绑定 ........................................................................................................................................ 13-413.4 设置最大MAC地址数 ........................................................................................................................ 13-513.5 设置MAC地址老化时间 .................................................................................................................... 13-613.6 配置防MAC地址欺骗功能 ................................................................................................................ 13-713.6.1 设置工作模式............................................................................................................................... 13-713.6.2 设置MAC地址列表 ................................................................................................................... 13-813.7 配置PITP协议...................................................................................................................................... 13-913.7.1 设置PITP功能开关 .................................................................................................................... 13-913.7.2 设置PITP以太网封装类型........................................................................................................ 13-913.7.3 设置PITP编码格式 .................................................................................................................. 13-1013.7.4 设置PITP option82功能........................................................................................................... 13-1013.8 设置802.1p优先级门限 .................................................................................................................... 13-1113.9 设置流量抑制 ...................................................................................................................................... 13-12表格目录表13-1 配置地址绑定相关操作列表.......................................................................................................... 13-5表13-2 设置最大MAC地址数相关操作列表.......................................................................................... 13-6表13-3 设置802.1p优先级别门限相关操作列表.................................................................................. 13-1113 安全特性配置关于本章本章介绍安全特性及其配置操作。