支招：如何保護DHCP服務器免受非法攻擊？
日期：2017/2/8 10:25:58 編輯：關於服務器
為了提高網絡管理效率，在局域網組網規模相對較大的工作環境中，網絡管理員往往會在單位局域網中架設、安裝DHCP服務器，並通過該服務器來自動為普通工作站提供上網設置服務;當局域網中的普通工作站連接到單位網絡後，它會自動向局域網網絡發送上網參數請求數據包，DHCP服務器一旦接受到來自客戶端系統的上網請求信息後，會自動為其提供合適的IP地址、網絡掩碼地址、網關地址以及DNS地址等參數，這樣一來客戶端系統就能正常訪問網絡了，很顯然DHCP服務器的穩定性直接影響著整個局域網網絡的工作性能。
不過，如果局域網網絡中同時存在另外一台不合法的DHCP服務器時，整個局域網網絡的運行穩定性將會受到破壞，普通工作站系統上網會出現混亂。為了讓局域網網絡運行始終穩定，我們需要想辦法保護合法DHCP服務器的運行安全性，以避免其受到不合法DHCP服務器的“沖擊”!
臨時保護DHCP
大家知道，普通工作站系統是通過廣播方式向局域網網絡發送上網參數請求信息的，局域網中的所有網絡設備都會收到來自普通工作站的上網請求，這自然也包括合法的DHCP服務器、不合法的DHCP服務器，不過究竟是合法的DHCP服務器還是不合法的DHCP服務器，優先應答普通工作站的上網請求，是沒有什麼規律的，因此當遇到普通工作站系統無法獲得有效上網參數現象時，我們可以嘗試通過反復發送廣播信息的辦法，來臨時保證普通工作站與合法DHCP服務器建立連接，直到普通工作站能夠從合法DHCP服務器那裡得到有效的上網參數為止。
一旦看到自己的工作站不能正常上網時，我們可以打開故障工作站系統的DOS命令行工作窗口，並在DOS命令行提示符下執行“ipconfig /release”字符串命令，來將之前獲得的不正確上網參數釋放出來。
然後嘗試執行“ipconfig /renew”字符串命令，來重新向局域網發送上網參數請求數據包，如果上述命令返回錯誤的結果信息，那麼我們可以在本地系統運行對話框中繼續執行“ipconfig /release”、“ipconfig /renew”字符串命令，直到普通工作站獲得有效的上網參數信息為止。
當然，這種方法只能解決燃眉之急，而且反復嘗試的次數也無法確定，通常都需要幾次或十幾次，並且當IP地址的租約期限到期後，普通工作站還需要再次向局域網DHCP服務器申請IP地址，到時候普通工作站無法上網的故障現象仍然會出現。
長期保護DHCP
通常情況下，局域網中的普通工作站安裝使用的都是Windows操作系統，在Windows工作站系統為主的局域網工作環境中，我們可以通過域管理模式來保護合法DHCP服務器的運行安全性，同時過濾不合法的DHCP服務器，確保該DHCP服務器不會為局域網普通工作站分配錯誤的上網參數信息。我們只要在局域網域控制器中，將合法有效的DHCP服務器主機加入到局域網活動目錄中，就能保證局域網中的所有普通工作站都會自動從合法有效的DHCP服務器那裡，獲得正確的上網參數信息了。這是因為域中的普通工作站向網絡發送廣播信息，申請上網參數地址時，位於同一個域中的合法有效的DHCP服務器，會自動優先響應普通工作站的上網請求，如果局域網指定域中的DHCP服務器不存在或失效時，那些沒有加入指定域中的不合法DHCP服務器才有可能響應普通工作站的上網請求。
要將合法有效的DHCP服務器加入到局域網指定域中時，我們可以按照下面的設置步驟來操作：
首先以系統管理員權限登錄進入局域網指定域控制器所在主機系統，打開該系統桌面上的“開始”菜單，從中依次點選“程序”/“管理工具”/“DHCP”選項，打開對應系統的DHCP服務器控制台窗口；其次在目標控制台窗口的左側顯示區域，用鼠標右鍵單擊目標服務器主機，從彈出的快捷菜單中執行“添加服務器”命令，單擊其中的“浏覽”按鈕，在其後出現的選擇計算機對話框中，選中合法有效的DHCP服務器所在主機名稱，也可以直接在“此服務器”文本框中輸入DHCP服務器所在主機的IP地址，最後單擊“確定”按鈕 完成設置操作。如此一來，局域網指定域中的普通工作站日後上網訪問時，就會自動優先從合法有效的DHCP服務器那裡獲得正確的上網參數信息了。
雖然這種方法的使用效果很好，但是對於局域網規模比較小的單位來說，幾乎沒有多大實際意義，因為小規模的局域網網絡幾乎都是工作組工作模式，這種工作模式下合法有效的DHCP服務器是無法得到安全保護的。
