《计算机网络安全与管理实践》课件-第3章

第3章局域网安全技术任务1企业局域网接入认证服务任务2企业局域网端口隔离任务3企业局域网端口绑定任务4企业网IP地址安全管理

任务1企业局域网接入认证服务

一、任务描述某公司构建自己的内部企业网，每位员工都有一台办公电脑，主机规模近100台，内部可以实现通信和资源共享。公司的网络管理员为了方便管理网络，并提高网络的安全性，希望只有合法用户才能接入网络，非法用户拒绝接入网络。

二、任务目标与目的

1.任务目标

针对该公司网络需求进行网络规划设计，通过802.1X技术实现对接入网络的用户进行身份验证，保证只有合法用户能接入网络，非法用户被拒绝接入网络。

2.任务目的

通过本任务进行交换机的802.1X配置，以帮助读者在深入了解交换机802.1X配置的基础上，具备利用802.1X技术对接入网络用户进行身份验证，以提高网络的安全性，方便进行网络管理，并具备灵活运用的能力。

三、任务需求与分析

1.任务需求

某公司构建了自己的内部网络，主机规模近100台。从网络安全和方便管理的角度考虑，希望对接入网络的用户进行身份验证，保证只有合法用户能接入网络，非法用户不能

接入网络。

2.需求分析

需求：公司的每台电脑在接入网络时都需要输入正确的账户名和密码，通过身份验证才能接入网络。

分析：通过在接入层交换机部署802.1X技术，对网络用户进行身份验证。

根据任务需求和需求分析，组建公司办公区的网络结构，如图3-1所示。图3-1公司网络结构

四、知识链接

1.802.1X身份认证

为解决无线局域网网络安全问题，IEEE802LAN/WAN委员会提出了802.1X协议。802.1X协议起源于802.11协议，后者是IEEE的无线局域网协议，制订802.1X协议的初衷是为了解决无线局域网用户的接入认证问题。IEEE802LAN协议定义的局域网并不提供接入认证，只要用户能接入局域网控制设备(如LANSwitch)就可以访问局域网中的设备或资源。

2.802.1X体系结构

使用802.1X的系统为典型的Client/Server体系结构，包括三个实体，分别为SupplicantSystem(客户端)、AuthenticatorSystem(设备端)以及AuthenticationServerSystem(认证服务器)，如图3-2所示。图3-2802.1X体系结构

1)客户端

客户端是位于局域网段一端的一个实体，由该链路另一端的设备端对其进行认证。

2)设备端

设备端是位于局域网段一端的另一个实体，用于对所连接的客户端进行认证。

3)认证服务器

认证服务器是为设备端提供认证服务的实体。

3.802.1X工作原理

802.1X体系结构中的三个实体涉及四个基本概念：PAE、受控端口、受控方向和端口受控方式。

1)PAE

PAE(PortAccessEntity，端口访问实体)是认证机制中负责执行算法和协议操作的实体。

2)受控端口

设备端为客户端提供接入局域网的端口，这个端口被划分为两个虚端口：受控端口和非受控端口。

3)受控方向

在非授权状态下，受控端口可以被设置成单向受控：实行单向受控时，禁止从客户端接收帧，但允许向客户端发送帧。缺省情况下，受控端口实行单向受控。

4)端口受控方式

H3C系列交换机支持以下两种端口受控方式。

(1)基于端口的认证：只要该物理端口下的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源，当第一个用户下线后，其他用户也会被拒绝使用网络。默认情

况下，H3C交换机为基于端口的认证。

(2)基于MAC地址的认证：该物理端口下的所有接入用户都需要单独认证，当某个用户下线时，只有该用户无法使用网络，不会影响其他用户使用网络资源。

4.802.1X工作机制

IEEE802.1X认证系统利用EAPOL协议，在客户端和认证服务器之间交换认证信息。802.1X系统认证工作机制如图3-3所示。图3-3802.1X系统认证工作机制

(1)在客户端PAE与设备端PAE之间，EAP协议报文使用EAPOL封装格式，直接承载于LAN环境中。

(2)在设备端PAE与RADIUS服务器之间，EAP协议报文可以使用EAPOR(EAPOverRADIUS)封装格式，承载于RADIUS协议中；也可以由设备端PAE进行终结，而在设备端PAE与RADIUS服务器之间传送PAP协议报文或CHAP协议报文。

(3)当用户通过认证后，认证服务器会把用户的相关信息传递给设备端，设备端PAE根据RADIUS服务器的指示(Accept或Reject)决定受控端口的授权/非授权状态。

5.配置命令

H3C系列和Cisco系列交换机上配置802.1X协议的相关命令，如表3-1所示。

五、任务实施

1.实施规划

实训拓扑结构

根据任务的需求与分析，实训的拓扑结构如图3-4所示，以PC1、PC2模拟公司的员工电脑。图3-4实训拓扑结构

实训设备

根据任务的需求和实训拓扑结构，每个实训小组的实训设备配置建议如表3-2所示。

IP地址规划

根据需求分析，本任务的IP地址规划如表3-3所示。

2.实施步骤

(1)根据实训拓扑结构图进行交换机、计算机的线缆连接，配置PC1、PC2的IP地址。

(2)使用计算机Windows操作系统的“超级终端”组件程序，通过串口连接到交换机的配置界面，其中超级终端串口的属性设置还原为默认值(每秒位数9600、数据位8、奇偶校验无、数据流控制无)。

(3)超级终端登录到路由器进行任务的相关配置。

(4)Sw1主要配置清单如下：

(5)802.1X客户端设置。802.1X客户端的设置可以采用两种方式：一是采用操作系统自带的802.1X客户端软件(Windows系列操作系统默认安装)；二是采用第三方开发的

802.1X客户端软件。本处先采用第三方开发的802.1X客户端软件，然后再演示操作系统自带的802.1X客户端软件。

①第三方开发的802.1X客户端软件设置。首先双击8021XClientV220-0231-windows客户端软件安装程序，打开程序安装向导，如图3-5所示。

图3-58021XClientV220-0231-windows安装向导

然后单击“下一步”按钮，打开“许可证协议”对话框，选中“我接受许可证协议中的条款”单选按钮，如图3-6所示。

图3-6“许可证协议”对话框

单击“下一步”按钮，打开“客户信息”对话框，如图3-7所示。设置客户信息，此处保持默认选项。图3-7“客户信息”对话框

单击“下一步”按钮，打开“安装类型”对话框。选择安装类型，此处安装类型选择“全部”，如图3-8所示。图3-8“安装类型”对话框

单击“下一步”按钮，再单击“完成”按钮即可完成程序安装，如图3-9所示。图3-9完成程序安装

程序安装完成后，需要重启操作系统进行初始化配置，程序才能正常使用。此时系统会弹出要求用户重启计算机的对话框，如图3-10所示。图3-10“重新启动计算机”对话框

禁用再重启网卡的方法为：首先在电脑桌面右击“我的电脑”，在弹出的快捷菜单中选择“属性”选项，如图3-11所示。图3-11“属性”选项

打开“系统属性”对话框，选择“硬件”选项卡，然后再选择“设备管理器”选项，如图3-12所示。图3-12“硬件”选项卡

打开“设备管理器”对话框，展开“网络适配器”选项，选中网卡，右击，在弹出的快捷菜单中选择“禁用”选项，如图3-13所示。图3-13禁用网卡

随后在弹出的警告菜单中单击“是”按钮，如图3-14所示。图3-14确认禁用网卡

禁用网卡后，再右击网卡，在弹出的快捷菜单中选择“启用”选项，如图3-15所示。图3-15启用网卡

至此，802.1X客户端完成安装并成功进行了设置。但由于我们采用的802.1X不是Windows的客户端，必须要将操作系统自身的802.1X客户端功能关闭。关闭操作系统的

802.1X客户端功能的方法为：右击“我的电脑”，在弹出的快捷菜单中选择“管理”选项，如图3-16所示。图3-16选择“管理”选项

打开“计算机管理”对话框，依次展开“服务和应用程序”|“服务”选项，如图3-17所示。图3-17“服务”选项窗口

在右边服务列表中找到WirelessConfiguration服务，双击打开，然后单击“停止”按钮，即可停止802.1X服务，如图3-18所示。

此时，在客户端桌面上将生成802.1X的快捷方式，双击打开，输入用户名和密码，即可实现客户端通过802.1X客户端登录，如图3-19所示。图3-18停止“WirelessConfiguration”服务图3-19802.1X客户端登录

②Windows系列操作系统自身802.1X客户端设置。在默认情况下，Windows操作系统自身已经安装并启用了802.1X客户端，即上面提到的WirelessConfiguration服务。如果没有启用，通过上面的方法将其启动。然后在桌面上右击“网上邻居”，在弹出的快捷菜单中选择“属性”选项，如图3-20所示。图3-20打开“网上邻居”的“属性”选项

打开“网络连接”窗口，右击“本地连接”选项，在随后弹出的快捷菜单中选择“属性”选项，如图3-21所示。图3-21打开“本地连接”|“属性”对话框

在“本地连接属性”对话框中，选择“身份验证”选项卡，如图3-22所示。图3-22“身份验证”选项卡

选中“为此网络启用IEEE802.1X身份验证”复选框，并且在“EAP类型”下拉列表中选择“MD5-质询”选项，然后单击“确定”按钮，即完成了Windows系列操作系统自带的802.1X客户端的设置，如图3-23所示。图3-23Windows操作系统自带802.1X客户端设置

六、任务验收

1.设备验收

根据实训拓扑结构图检查、验收路由器、计算机的线缆连接，检查PC1、PC2的IP地址。

2.配置验收

查看802.1X配置列表：

3.功能验收

在PC1、PC2上通过ping命令进行通信(从断开恢复到正常通信)测试，如图3-24所示。图3-24在PC1、PC2上通过ping命令进行通信

七、任务总结

针对某公司办公区网络改造任务的内容和目标，根据需求分析进行了实训的规划和实施，本任务进行了交换机的802.1X配置，并通过802.1X进行验证，实现了只有合法用户可登录网络，非法用户被拒之门外，从而提高了网络的安全性，也方便了网络管理。

任务2企业局域网端口隔离一、任务描述某公司有普通办公区和技术部两个部门，构建了自己的内部企业网，每位员工都有一台办公电脑，主机规模近100台，内部可以实现通信。为了办公需要，公司在技术部部署了一台FTP服务器，以实现公司内部的资源共享。从网络安全与管理的角度考虑，网络管理员希望内部普通办公区员工的主机之间不能相互通信，但员工电脑均可正常访问公司的FTP服务器。请你规划并实施网络。该公司组织结构如图3-25所示。图3-25公司组织结构

二、任务目标和目的

1.任务目标

针对该公司网络需求，通过局域网端口隔离技术，实现对局域网内部主机之间通信的相互隔离。

2.任务目的

通过本任务进行交换机的端口隔离配置，以帮助读者在深入了解交换机的基础上，具备利用端口隔离技术提高网络性能和数据转发的安全性，并灵活运用的能力。

三、任务需求与分析

1.任务需求

公司在内部部署了一台FTP服务器，以实现公司内部的资源共享。从网络安全与管理的角度考虑，网络管理员希望普通办公区员工的主机之间不能相互通信，但员工电脑均可正常访问公司的FTP服务器。部门具体计算机分布如表3-4所示。

根据任务需求和需求分析组建公司的网络结构，如图3-26所示。图3-26公司网络结构

2.需求分析

需求1：从安全和可管理的角度考虑，普通办公区的电脑之间不能相互通信。

分析1：通过交换机端口隔离技术，实现普通办公区主机之间通信的隔离。

需求2：普通办公区的员工主机均可正常访问技术部的FTP服务器。

分析2：通过端口隔离的Uplink端口技术，实现普通办公区的员工主机均可访问技术部的FTP服务器。

四、知识链接

1.端口隔离的基本概念

端口隔离是为了实现报文之间的二层隔离，以提升网络安全性。一般而言，要实现二层报文隔离，人们首先想到的是VLAN技术，即将不同的端口加入不同的VLAN，如图3-27所示。图3-27采用VLAN技术实现二层报文隔离

但采用VLAN技术实现二层报文隔离，会带来以下两

个严重问题。

(1)浪费有限的VLAN资源。

(2)VLAN数过多，浪费大量的三层接口，导致管理不便。

2.端口隔离的原理

端口隔离实现同一VLAN内端口之间隔离，使得隔离组内的主机无法通信，更安全、更灵活和方便。交换机所有端口属于一个隔离组，隔离组内的端口类型分为以下两种。

1)普通端口

普通端口被二层隔离，连接在普通端口之下的主机之间无法相互通信，通信被隔离。

2)上行端口(Uplink端口)

上行端口可以和所有普通端口进行通信。

图3-28为端口隔离典型应用案例。隔离组内的主机之间的通信被隔离，但它们均可以和连接在上行端口之下的服务器进行通信。

图3-28端口隔离典型应用案例

3.配置命令

H3C系列和Cisco系列交换机上配置端口隔离协议的相关命令如表3-5所示。

五、任务实施

1.实施规划

实训拓扑结构

根据任务的需求与分析，实训的拓扑结构如图3-29所示，以PC1、PC2模拟公司普通办公区的员工电脑，PC3模拟公司的文件服务器(FTPServer)。图3-29实训的拓扑结构

实训设备

根据任务的需求和实训拓扑结构，每个实训小组的实训设备配置建议如表3-6所示。

IP地址规划

根据需求分析本任务的IP地址规划，如表3-7所示。

2.实施步骤

(1)根据实训拓扑结构图进行交换机、计算机的线缆连接，配置PC1、PC2、FTPServer的IP地址。

(2)使用计算机Windows操作系统的“超级终端”组件程序，通过串口连接到交换机的配置界面，其中超级终端串口的属性设置还原为默认值(每秒位数9600、数据位8、奇偶校验无、数据流控制无)。

(3)超级终端登录到路由器进行任务的相关配置。

(4)Sw1主要配置清单如下：

六、任务验收

1.设备验收

根据实训拓扑结构图检查、验收路由器、计算机的线缆连接，检查PC1、PC2、FTPServer的IP地址。

2.配置验收

3.功能验收

1)隔离组内主机通信测试

在隔离组内的PC1上运行ping命令测试其与PC2的通信情况，显示为无法通信，如图3-30所示。图3-30PC1与PC2无法通信

同样，在隔离组内的PC2上运行ping命令测试其与PC1的通信情况，显示为无法通信，如图3-31所示。图3-31PC2与PC1无法通信

2)隔离组内主机与Uplink端口下服务器通信测试

在隔离组内的PC1上运行ping命令，测试其与Uplink端口下的Server之间的通信情况，显示为连通状态，如图3-32所示。图3-32PC1与Server之间处于连通状态

在隔离组内的PC2上运行ping命令，测试其与Uplink端口下的Server之间的通信情况，显示为连通状态，如图3-33所示。图3-33PC2与Server之间处于连通状态

七、任务总结

针对某公司办公区网络改造任务的内容和目标，根据需求分析进行了实训的规划和实施。本任务使用交换机的端口隔离技术配置交换机的服务，通过端口隔离技术，使公司普

通办公区电脑之间的通信被隔离，但均可以与服务器进行通信，既实现了资源共享，提高了网络的安全性，也方便了网络管理员进行网络管理。

任务3企业局域网端口绑定

一、任务描述某公司构建自己的内部企业网，每位员工都有一台办公电脑，主机规模近100台，内部可以实现通信和资源共享。公司的网络管理员为了方便管理网络，并提高网络安全性，希望公司中的每一位员工都分配固定的IP地址、固定的位置，一旦员工擅自修改电脑的位置和IP地址，将不能上网，也不能与内部员工进行通信。请你规划并实施网络。

二、任务目标与目的

1.任务目标

针对该公司的网络需求进行网络规划设计，通过端口绑定技术实现对接入网络的用户主机进行IP地址、接入端口等参数的绑定，降低网络用户的自由度。

2.任务目的

通过本任务进行交换机的端口绑定配置，以帮助读者在深入了解交换机的基础上，具备利用端口绑定技术实现网络用户绑定，降低网络用户的自由度，提高网络安全性，增强

网络管理的能力。

三、任务需求与分析

1.任务需求

某公司构建了自己的内部网络，主机规模近100台。从网络安全和方便管理的角度考虑，网络工程师为每位员工分配了固定的IP地址，要求员工只能在自己的电脑上使用指定的IP地址才能够接入网络，一旦修改了IP地址，或者将IP地址借给其他员工用将无法接入网络。

2.需求分析

需求：公司每台电脑只能使用指定的IP地址才能上网，一旦修改了地址，或把IP地址借给其他员工使用，都无法上网。

分析：通过端口绑定技术对网络用户进行严格控制，降低其自由度，实现每个网络用户只能使用自己的PC及固定的IP地址才能接入公司网络，从而提高网络的安全性，也方便网络管理员对网络进行管理和控制。

根据任务需求和需求分析组建公司的网络结构，如图3-34所示。图3-34公司网络结构

四、知识链接

1.端口绑定的基本概念

端口绑定技术，即将主机MAC地址、主机IP地址和交换机的端口三个要素进行绑定，实现对设备转发报文进行过滤，提高安全性。

2.端口绑定实现原理

端口绑定技术一般是指网络工程师通过手工方式在交换机内部配置“MAC+IP+Port”的绑定表。交换机收到报文，检测报文源MAC地址、源IP地址与交换机内部的绑定表是否一致，如果一致，交换机的端口将转发该报文；如果不一致，交换机的端口将丢弃该报文。端口绑定实现原理如图3-35所示。图3-35端口绑定实现原理

1)E1/0/2端口

从E1/0/2端口收到的报文，交换机检测其源MAC地址、源IP地址，发现虽然源IP地址与该端口绑定的IP地址一致，但源MAC地址与该端口绑定的MAC地址不一致，因此，交换机将丢弃该报文，即PCA不能接入网络。

2)E1/0/3端口

从E1/0/3端口收到的报文，交换机检测其源MAC地址、源IP地址，发现两者均和该端口绑定的MAC地址、IP地址一致，因此，交换机将转发该报文，即PCB被允许接入

网络。

3)E1/0/4端口

从E1/0/4端口收到的报文，交换机检测其源MAC地址、源IP地址，发现虽然源MAC地址与该端口绑定的MAC地址一致，但源IP地址与该端口绑定的IP地址不一致，因此，

交换机将丢弃该报文，即PCC被拒绝接入网络。

3.端口绑定配置命令

H3C系列和Cisco系列交换机上配置端口绑定协议的相关命令如表3-8所示。

五、任务实施

1.实施规划

实训拓扑结构

根据任务的需求与分析，本实训的拓扑结构如图3-36所示，以PC1、PC2模拟公司的员工电脑。图3-36实训的拓扑结构

实训设备

根据任务的需求和实训拓扑结构，每个实训小组的实训设备配置建议如表3-9所示。

IP地址规划

根据需求分析，本任务的IP地址规划及每台主机的MAC地址如表3-10所示。

2.实施步骤

(1)根据实训拓扑结构图进行交换机、计算机的线缆连接，配置PC1、PC2的IP地址。

(2)使用计算机Windows操作系统的“超级终端”组件程序，通过串口连接到交换机的配置界面，其中超级终端串口的属性设置还原为默认值(每秒位数9600、数据位8、奇偶校验无、数据流控制无)。

(3)超级终端登录到路由器进行任务的相关配置。

(4)Sw1主要配置清单如下：

六、任务验收

1.设备验收

根据实训拓扑结构图检查、验收路由器、计算机的线缆连接，检查PC1、PC2的IP地址。

2.配置验收

3.功能验收

在PC1上通过ping命令与PC2通信始终处于通信状态。如果任意更改一台主机的IP地址以后，通信状态变为断开状态，如图3-37所示。图3-37修改IP地址前后的网络测试对比

在PC2上通过ping命令与PC1通信始终处于通信状态，如果任意更改一台主机所连的交换机的端口，通信状态变为断开状态，如图3-38所示。图3-38修改主机所连交换机端口前后的网络测试对比

七、任务总结

针对某公司办公区网络改造任务的内容和目标，根据需求分析进行了实训的规划和实施。本任务进行了交换机的端口绑定技术配置，通过端口绑定技术，使得员工一旦擅自修

改自己电脑的位置或IP地址，将不能上网，也不能与内部员工进行通信，最大程度降低网络用户的自由度，方便网络管理员进行网络管理和维护，在一定程度上也提高了网络的安全性和可靠性。

任务4企业网IP地址安全管理

一、任务描述某公司采用当前主流的交换技术构建了自己的内部企业网，每位员工都有一台办公电脑，主机规模近100台，内部可以实现通信和资源共享。为了方便网络管理，公司网络工程师希望能通过自动方式为网络中的主机分配IP地址，并提供一定的安全保障机制。请你规划并实施网络。

二、任务目标和目的

1.任务目标

针对该公司的网络需求，进行网络规划设计，通过DHCP、DHCPSnooping等技术为该公司提供安全的IP地址管理手段。

2.任务目的

通过本任务进行DHCP、DHCPSnooping的配置，以帮助读者在深入了解服务器DHCP、交换机DHCPSnooping配置的基础上，具备利用DHCP、DHCPSnooping等技术为公司网络提供高安全性的IP地址管理手段，在方便网络管理的同时也提高网络的安全性，并具备灵活运用的能力。

三、任务需求与分析

1.任务需求

某公司采用当前主流的交换技术构建了自己的内部企业网，每位员工都有一台办公电脑，主机规模近100台。从安全和方便管理的角度考虑，网络管理员希望能为公司网络提

供安全的IP地址分配和管理手段，即希望公司网络既能实现自动的IP地址分配管理，又能杜绝自动分配IP地址带来的安全性薄弱的问题，具备较好的安全性。

2.需求分析

需求1：公司网络具备IP地址的自动分配和管理功能，以提高网络管理效率，降低网络管理员的工作负担。

分析1：通过DHCP协议实现IP地址的自动分配和管理，即在网络中部署一台DHCP服务器，控制整个公司网络的IP地址资源，当网络中的主机开机，即可自动从DHCP服务器租赁一个地址。

需求2：要求公司网络能自动分配和管理IP地址，具备较高的安全性。

分析2：DHCP协议虽然实现了IP地址的自动分配和管理，提高了管理效率，但本身缺乏身份验证机制，无法识别合法和非法的DHCP报文，因此安全性较差。采用DHCPSnooping可以有效识别网络中合法和非法的DHCP报文，保证网络中的主机只会从合法的DHCP服务器租赁IP地址，从而保证了网络IP地址的安全。

根据任务需求和需求分析组建公司的网络结构，如图3-39所示。

图3-39公司网络结构

四、知识链接

1.DHCP协议

随着网络规模的不断扩大和网络复杂度的提高，计算机的数量经常超过可供分配的IP地址数量。

1)DHCP基本概念

DHCP是TCP／IP协议簇中的一种，主要用于网络中的主机请求IP地址、默认网关、DNS服务器地址并将其分配给主机的协议。DHCP是一种C/S协议，它简化了客户机IP地址的配置和管理工作，以及其他TCP/IP参数的分配。

在较大型的本地网络中，或者用户经常变更的网络中，可使用DHCP来为用户计算机提供IP地址。与由网络管理员为每台工作站手工分配IP地址的做法相比，采用DHCP自动分配IP地址的方法更高效。DHCP协议允许主机在连入网络时动态获取IP地址。主机连入网络时，联系DHCP服务器并请求IP地址，DHCP服务器从已配置的地址范围(也称为“地址池”)中选择一条地址，并将其临时“租”给主机一段时间。DHCP工作模型如图3-40所示。图3-40DHCP工作模型

2)DHCP的优点

(1)减少错误：减少手工配置IP地址导致的错误，例如已分配的IP地址再次分配给另一设备引起的地址冲突。

(2)减少网络管理：TCP/IP配置是集中化和自动完成的，不需手工配置，如集中定义全局和特定子网的TCP/IP配置。

3)DHCP系统的构成

一个完整的DHCP系统由三大要素构成：DHCP客户端、DHCP服务器和DHCP中继代理，如图3-41所示。

提供DHCP服务的主机一般称为DHCP服务器(DHCPServer)，接收信息的主机称为DHCP客户端(DHCPClient)。同时，DHCP还为客户端提供了一种可从不同子网的服务器

中获取信息的机制，称为DHCP中继代理(DHCPRelayAgent)。图3-41DHCP系统的构成

(1)DHCP客户端。DHCP客户端通过DHCP来获得网络IP配置参数。

(2)DHCP服务器。DHCP服务器提供网络设置参数给DHCP客户端。

(3)DHCP中继代理。DHCP中继代理是指在DHCP客户端和服务器之间转发DHCP消息的主机或路由器。

4)DHCP的工作原理

DHCP是基于“客户/服务器”模式的，由一台指定的主机分配网络地址、传送网络配置参数给需要的网络设备或主机。

为了获取并使用一个合法的动态IP地址，在不同的阶段，DHCP客户端需要与服务器之间交互不同的信息。以客户端第一次登录网络，通过DHCP获取IP地址为例，客户端与服务器的交互包括下面四个过程，如图3-42所示。

图3-42DHCP工作过程

(1)发现阶段(DHCPDiscover)。即DHCP客户端寻找DHCP服务器的阶段。

(2)提供阶段(DHCPOffer)。即DHCP服务器提供IP地址的阶段。

(3)选择阶段(DHCPRequest)。即DHCP客户端选择某台DHCP服务器提供的IP地址的阶段。

(4)确认阶段(DHCPAck)。即DHCP服务器确认所提供的IP地址的阶段。

5)DHCP作用域

DHCP作用域是DHCP服务器为客户端分配IP地址的重要功能，主要用于设置分配的IP地址范围、需要排除的IP地址、IP地址租约期限等信息。注意：必须创建作用域才能让DHCP服务器分配IP地址给DHCP客户端。

每一个作用域具有以下属性：

(1)租用给DHCP客户端的IP地址范围；可在其中设置排除选项，排除的IP地址将不分配给DHCP客户端使用。

(2)子网掩码，用于确定给定IP地址的子网；此选项创建作用域后无法修改。

(3)创建作用域时指定的名称。

(4)租约期限值，分配给DHCP客户端的IP地址的使用期限。当客户端使用分配到的IP地址时间超过了此租期，服务器将收回分配给客户端的IP地址。

(5)DHCP作用域选项，如DNS服务器、路由器IP地址和WINS服务器地址等。

(6)保留(可选)，用于确保某个确定MAC地址的DHCP客户端总是能从此DHCP服务器获得相同的IP地址。

6)DHCP中继代理

由于在IP地址动态获取过程中采用广播方式发送报文，而路由器会隔离广播，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。在默认情况下，一个物

理子网中的DHCP服务器无法为其他物理子网中的DHCP客户端分配IP地址，如果要为多个网段进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济和实用的。

为了使网络中所有的DHCP客户端都能获得IP地址租约，采用DHCP中继代理可以避免在每个物理网段都要有DHCP服务器的必要，它可以将消息传递到位于不同物理子网的DHCP服务器，也可以将服务器的消息传回给位于不同物理子网的DHCP客户端。DHCP中继代理的典型应用如图3-43所示。

图3-43跨子网的DHCP中继代理

DHCP中继代理的工作过程是修改DHCP消息中的相应字段，把DHCP的广播包改成单播包，并负责在服务器与客户端之间转换，如图3-44所示。图3-44DHCP中继代理工作过程

具体的工作过程如下：

(1)具有DHCP中继功能的网络设备(通常是路由器)收到DHCP客户端以广播方式发送的DHCPDiscover或DHCPRequest报文后，将报文中的giaddr字段填充为DHCP中继代理的IP地址，并根据配置将报文单播转发给指定的DHCP服务器。

(2)DHCP服务器根据giaddr字段为客户端分配IP地址等参数，并通过DHCP中继代理将配置信息转发给客户端，完成对客户端的动态配置。

7)DHCP报文

DHCP客户端、DHCP服务器和DHCP中继代理三大要素要完成IP地址的租赁、回收、续租、地址释放等功能，主要是通过交换若干报文实现的。具体而言，DHCP系统中主要有七大报文，如图3-45所示。图3-45DHCP报文

2.DHCPSnooping

1)DHCP协议漏洞

DHCP是在网络中提供动态地址分配服务的协议，采用DHCP服务器可以自动为用户设置IP地址、掩码、网关、DNS等网络参数，简化了用户的网络设置，提高了管理效

率。

2)DHCPSnooping基本概念

DHCP监听(DHCPSnooping)是交换机的一种安全特性，它能通过过滤网络中接入的非法DHCP服务器发送的DHCP报文增强网络安全性。

3)DHCPSnooping的作用

DHCPSnooping是DHCP的一种安全特性，具有如下功能。

(1)保证客户端从合法的服务器获取IP地址。

(2)记录DHCP客户端IP地址与MAC地址的对应关系。

利用这些信息可以实现以下内容：

①ARPDetection：根据DHCPSnooping表项来判断发送ARP报文的用户是否合法，从而防止非法用户的ARP攻击。ARPDetection的详细介绍请参见“IP业务分册”中的“ARP配置”。

②IPSourceGuard：通过动态获取DHCPSnooping表项对端口转发的报文进行过滤，防止非法报文通过该端口。IPSourceGuard的详细介绍请参见“安全分册”中的“IPSourceGuard配置”。

4)DHCPSnooping的实现原理

为了使DHCP客户端能通过合法的DHCP服务器获取IP地址，DHCPSnooping安全机制允许将端口设置为信任端口和不信任端口。

(1)信任端口：正常转发接收到的DHCP报文。

(2)不信任端口：接收到DHCP服务器响应的DHCPAck和DHCPOffer报文后，丢弃该报文。

连接DHCP服务器和其他DHCPSnooping设备的端口需要设置为信任端口，以便DHCPSnooping设备正常转发DHCP服务器的应答报文，其他端口设置为不信任端口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。DHCPSnooping信任端口典型应用场景如图3-46所示。图3-46DHCPSnooping信任端口典型应用场景

5)DHCPSnooping级联网络

在多个DHCPSnooping设备级联的网络中，与其他DHCPSnooping设备相连的端口需要配置为信任端口。DHCPSnooping级联网络如图3-47所示。图3-47DHCPSnooping级联组网图

图3-47中设备各端口的角色如表3-11所示。

3.配置命令

H3C系列和Cisco系列交换机上配置DHCPSnooping协议的相关命令，如表3-12所示。

五、任务实施

1.实施规划

实训拓扑结构

根据任务的需求与分析，实训的拓扑结构如图3-48所示，以PC1模拟公司员工电脑，PC2模拟非法DHCP服务器，DHCPServer模拟合法DHCP服务器。图3-48实训的拓扑结构

实训设备

根据任务的需求和实训拓扑，每个实训小组的实训设备配置建议如表3-13所示。

IP地址规划

根据需求分析，本任务的IP地址规划如表3-14所示。

2.实施步骤

(1)根据实训拓扑结构图进行交换机、计算机的线缆连接，配置PC2、DHCPServer的IP地址。

(2)部署合法DHCP服务器。

①安装DHCP服务组件。首先为合法DHCP服务器设置IP地址，然后开始安装DHCP服务组件。在桌面左下角单击“服务器管理器”图标，打开“服务器管理器”窗口，如图3-49所示。图3-49“服务器管理器”窗口

双击“角色”选项，打开“角色”窗口，此时可以看到该台主机所安装的服务种类，单击“添加角色”按钮，如图3-50所示，即可打开“添加角色向导”对话框。图3-50打开“添加角色向导”

单击“下一步”按钮，打开“选择服务器角色”对话框，此时选中“DHCP服务器”复选框，如图3-51所示。图3-51选择“DHCP服务器”的角色类型

连续多次单击“下一步”按钮，此时打开的若干个对话框中均采用空白设置(主要有设置IP地址范围、DNS服务器地址、网关等，这些可以在后面创建作用域时设置)。最后单击“安装”按钮，即可开始DHCP组件的安装，如图3-52所示。图3-52DHCP组件的安装

DHCP服务组件的安装过程如图3-53所示。图3-53DHCP服务组件的安装过程

最后单击“关闭”按钮，即可完成DHCP组件的安装，如图3-54所示。图3-54完成DHCP组件安装

②创建作用域。完成了DHCP组件安装后，就需要创建作用域，作用域包含了DHCP服务器可以提供的IP地址范围，一般情况下是一个网段设置一个作用域(当然也有例外，例如超级作用域)。此处只有一个网段，因此我们就只需要设置一个作用域。设置作用域的方法如下：

通过“服务器管理器”打开“角色”选项，此时可以看到我们刚才安装的DHCP组件已经在系统中显示，如图3-55所示。图3-55“角色”对话框中显示“DHCP服务器”组件

选择“DHCP服务器”选项，即可打开“DHCP服务器”窗口，在此窗口中依次展开“DHCP服务器”、服务器的名字(此处为“win2008-03”)、IPv4等选项，如图3-56所示。图3-56DHCP选项展开

此时选中IPv4选项，右击，在弹出的快捷菜单中选择“新建作用域”选项，如图3-57所示。图3-57打开“新建作用域”向导

此时，打开“新建作用域向导”，单击“下一步”按钮，打开“作用域名称”对话框，在此对话框中设置该作用域的名称(一般而言，在实际应用中，每一个作用域代表一个网段，网络管理员在进行网络管理时，往往需要通过作用域来识别该作用域究竟是为哪个网段提供IP地址租赁服务，因此作用域的名称应该统一规划)，此处我们将作用域名称设置为office-01，如图3-58所示。图3-58设置作用域名称

完成作用域名称设置后，单击“下一步”按钮，打开“IP地址范围”对话框，在此对话框中设置该作用域可以分配的IP地址范围，此处设置为～54，子网掩码采用24位掩码，如图3-59所示。图3-59作用域IP地址范围设置

完成IP地址范围设置后，单击“下一步”按钮，打开“添加排除”对话框，在此对话框中设置刚才设置的IP地址范围中哪些IP地址不想用于分配，此处设置排除的地址范围为：0～0。当然，此处也可以不用设置。设置完排除地址范围后一定要单击“添加”按钮，此时在“排除的地址范围”部分会生成一条排除地址的记录，才表明地址排除设置成功，如图3-60所示。图3-60IP地址排除地址范围设置

设置完排除的地址范围后，单击“下一步”按钮，设置地址租用期限，WindowsServer2008的操作系统对于DHCP的租期默认为8天，在此对话框中可以进行修改。一般对于网络结构比较稳定的网络，为了避免DHCP客户端频繁地向服务器发送续租IP地址的请求而浪费网络资源，建议尽量将租期设置得长一点；对于网络结构频繁变动的网络，为了能更好地回收IP地址，节约IP地址，建议尽量将租期设置得短一点。此处，我们保持默认的8天租期，如图3-61所示。图3-61IP地址租期设置

完成IP地址租期设置后，单击“下一步”按钮，打开“配置DHCP选项”对话框。DHCP配置选项主要包含网关、DNS服务器IP地址、WINS服务器IP地址。如果要配置这些参数，就需要选中“是，我想现在配置这些选项”单选按钮；如果不想配置这些参数，或暂时不需要配置这些参数，就选中“否，我想稍后配置这些选项”单选按钮。由于本实训无需网关、DNS、WINS等参数，因此，此处我们选中“否，我想稍后配置这些选项”单选按钮，如图3-62所示。图3-62DHCP选项配置选择

单击“下一步”按钮后再单击“完成”按钮，即完成了DHCP作用域的创建，如图3-63所示。图3-63完成作用域创建

完成作用域创建后，可以看到在IPv4选项下面会生成一条刚创建好的作用域记录。但该作用域的图标显示为红色，表明该作用域并未激活，此时需要激活该作用域。选中该作

用域，右击，在弹出的快捷菜单中选择“激活”选项，即可完成对该作用域的激活，如图3-64所示。图3-64激活作用域

③DHCP客户端配置。PC1作为DHCP客户端，需要将其IP地址获取的方式设置为自动获取。在桌面选中“网上邻居”图标，右击，在弹出的快捷菜单中选择“属性”选项，将打开“网络连接”窗口，如图3-65所示。图3-65“网络连接”窗口

在“网络连接”窗口中选择“本地连接”图标，右击，在弹出的快捷菜单中选择“属性”选项，将打开“本地连接