网工:原来DHCP还有这种用法?你不会只知道动态配置地址吧!

一、DHCP使用究竟何为？

在没有DHCP协议的情况下，电脑接入需要静态配置网络参数，这样做费时费力而且易错，因此开发了DHCP协议。DHCP全称叫做动态主机配置协议，是一种用于集中对用户IP地址进行动态管理和配置的技术，实现了网络配置参数自动分配的功能。这也就是为什么你的电脑插上网线就能使用的原因。

二、DHCP如何工作？

DHCP客户端首次接入网络时需要通过发现、提供、选择和确认4个阶段获取网络配置。

在发现阶段，DHCP客户端通过发送DHCP DISCOVER报文来寻找DHCP服务器。由于DHCP服务器的IP地址对于客户端来说是未知的，所以DHCP客户端以广播方式发送DHCP DISCOVER报文。所有收到DHCP DISCOVER报文的DHCP服务器都会发送回应报文，DHCP客户端据此可以知道网络中存在的DHCP服务器的位置。

提供阶段是DHCP服务器提供IP地址的阶段。网络中接收到DHCP DISCOVER报文的DHCP服务器会从地址池中选择一个合适的地址及其他配置信息通过DHCP OFFER单播报文发送给DHCP客户端。

选择阶段是DHCP客户端选择IP地址的阶段。如果有多台DHCP服务器向DHCP客户端回应DHCP OFFER报文，则DHCP客户端只接收第一个收到的DHCP OFFER报文。然后以广播方式发送DHCP REQUEST请求报文，该报文中包含Option54服务器标识选项，也就是它选择的DHCP服务器的IP地址信息。以广播方式发送DHCP REQUEST请求报文是为了通知所有的DHCP服务器，它将选择Option54中标识的DHCP服务器提供的IP地址，其他DHCP服务器可以重新使用曾提供的IP地址。

确认阶段是DHCP服务器确认所提供IP地址的阶段。当DHCP服务器收到DHCP客户端回应的DHCP REQUEST报文后，DHCP服务器会根据DHCP REQUEST报文中携带的MAC地址来查找有没有相应的租约记录。如果有，则向客户端发送包含它所提供的IP地址和其它设置的DHCP ACK确认报文。DHCP客户端收到该确认报文后，会以广播的方式发送免费ARP报文，探测是否有主机使用服务器分配的IP地址，如果在规定的时间内没有收到回应，客户端才使用此地址。

如果DHCP服务器收到DHCP REQUEST报文后，没有找到相应的租约记录，或者由于某些原因无法正常分配IP地址，则发送DHCP NAK报文作为应答，通知DHCP客户端无法分配合适IP地址。DHCP客户端需要重新发送DHCP DISCOVER报文来申请新的IP地址。DHCP Client获得IP地址后，上线之前会检测正在使用的网关的状态，如果网关地址错误或网关设备故障，DHCP客户端将重新使用四步交互方式请求新的IP地址。

三、DHCP relay，弥补DHCP的局限性

在交换机上配置DHCP服务只能提供本设备同网段接口的动态主机配置，如果有多个子网且需要在同一个设备上进行动态主机配置管理就需要使用DHCP中继功能，DHCP中继承担处于不同网段间的DHCP客户端和服务器之间中继服务，将DHCP协议报文跨网段透传到目的DHCP服务器，最终使网络上的DHCP客户端可以共同使用一个DHCP服务器。DHCP中继客户端首次接入网络时也是需要通过发现、提供、选择和确认4个阶段获取网络配置。区别在于中继设备只是服务器与客户端之间的搬运工。

四、DHCP可不仅仅只是提供地址那么简单

DHCP服务器不仅仅是提供IP地址，它还能实现很多功能，比如说如果某网段中有些服务器地址需要固定，这些地址不希望被分配给其它终端时可以在地址池中排除这些地址。

ip pool vlan2_pool

gateway-list 192.168.2.254

network 192.168.2.0 mask 255.255.255.0

excluded-ip-address 192.168.2.251

如果网络中存在WLAN，可以通过option 43字段指定AC的地址信息。

如果终端有多个网卡且需要明确终端路由时可以使用option121设置无分类路由等。

五、DHCP snooping，防止DHCP Server仿冒者攻击

客户端首次接入网络时为了发现网络中的DHCP服务器而使用广播发送DISCOVER报文，这就意味着网络中的所有设备都能接收到这个报文，当网络中存在仿冒DHCP服务器时客户端有可能会获取到仿冒DHCP服务器发送的DHCP OFFER报文，从而获取到错误的地址导致网络故障，这也就是为什么办公网在私自接小路由器后由于误操作导致整个局域网网络故障的原因。DHCP snooping技术通过信任接口和非信任接口确保客户端能够获得合法DHCP服务器提供的服务。非信任接口在接收到DHCP服务器响应的DHCP ACK、DHCP NAK和DHCP Offer报文后丢弃该报文。

六、DHCP服务部署建议

①服务器集中部署，一般使用单独搭建服务器提供服务，交换机使用DHCP中继。

②网络中部署DHCP snooping功能防止DHCP server仿冒者攻击。