Lin操作基础系统 3

第16章DHCP服务器《Linux操作系统（第5版）》学习目标了解DHCP协议的基本概念与核心作用，掌握DHCP动态分配IP地址的工作过程；了解DHCP服务器的工作原理，掌握DHCP服务器的安装、配置、启动与测试方法；了解跨网段环境下DHCP服务的规划要点，掌握DHCP中继与备份的配置及应用方法章节概述DHCP服务是局域网中实现IP地址自动化管理的核心技术。作为基于动态主机配置协议的服务，其核心功能是为手机、电脑、智能设备等终端自动分配IP地址、子网掩码、网关及DNS服务器地址等关键网络参数，有效解决手动配置的繁琐操作与IP地址冲突问题。目前，DHCP服务广泛部署于家庭路由器、企业专用服务器等载体中，既支持单一网段的终端联网需求，也可通过DHCP中继配置适配多子网的复杂网络环境，是保障局域网高效、稳定运行的基础服务之一。目录0103DHCP基础与原理DHCP服务器配置02DHCP安装与服务管理04跨网段与高可用规划DHCP基础与原理16.1DHCP（DynamicHostConfigurationProtocol）是动态主机配置协议，它的前身是BOOTP。BOOTP（BootStrapProtocol）是一种引导协议（或自举协议），用于无盘工作站的局域网中，可以让无盘工作站从中心服务器上获得IP地址。BOOTP可以为局域网中的无盘工作站动态分配IP地址，但它有一个缺点，在设定前需要事先获得客户端的硬件地址。DHCP是BOOTP的增强版本﹐分为两部分：服务端和客户端。在此机制下，DHCP服务器集中管理所有的IP网络设定数据，并负责处理客户端的DHCP请求；每个DHCP客户端连接到DHCP服务器时，服务器就会给客户端返回IP地址、网关和域名服务器等信息，让其以此配置自己的网络参数。相对于BOOTP，DHCP通过“租约”的概念，有效且动态地分配客户端的TCP/IP相关属性的设定。出于兼容性考虑，DHCP服务也充分兼容了BOOTP客户端的使用需求。16.1.1DHCP协议1.继承的概念1.什么是异常概述（1）DHCP客户机：通过DHCP服务器来获得网络配置参数的主机。（2）DHCP服务器：给作为DHCP客户机的主机提供网络配置参数。（3）DHCP中继代理：在DHCP服务器和DHCP客户机之间转发DHCP消息的主机或路由器。（4）租用：DHCP客户机从DHCP服务器获得并临时占用该IP地址的过程。16.1.1DHCP协议1.继承的概念1.什么是异常与DHCP相关的基本概念（1）地址池中的IP地址：可以由DHCP动态分配给客户端的可用IP地址。（2）租用IP地址：DHCP已经从地址池中分配出去的IP地址。16.1.1DHCP协议1.继承的概念1.什么是异常DHCP管理的两种IP地址（1）自动分配（automaticallocation）：DHCP客户端第一次成功从DHCP服务端租用到IP地址之后就永远使用这个地址。（2）动态分配（dynamicallocation）：当DHCP客户端第一次从HDCP服务端租用到IP地址之后并非永久使用它，只要租约到期客户端就得释放这个IP地址，以便供其他工作站使用。当然，客户端也可以延续租约或租用其他的IP地址。除此之外，DHCP还可以将一些IP地址保留下来供一些具有特殊用途的机器使用，也可以按照MAC地址来分配固定的IP地址。16.1.1DHCP协议1.继承的概念1.什么是异常DHCP提供的IP地址分配方式（1）自动分配（automaticallocation）：DHCP客户端第一次成功从DHCP服务端租用到IP地址之后就永远使用这个地址。（2）动态分配（dynamicallocation）：当DHCP客户端第一次从HDCP服务端租用到IP地址之后并非永久使用它，只要租约到期客户端就得释放这个IP地址，以便供其他工作站使用。当然，客户端也可以延续租约或租用其他的IP地址。除此之外，DHCP还可以将一些IP地址保留下来供一些具有特殊用途的机器使用，也可以按照MAC地址来分配固定的IP地址。16.1.1DHCP协议1.继承的概念1.什么是异常DHCP提供的IP地址分配方式DHCP的工作模式会根据客户端是否为首次登录网络而有所不同。客户端首次登录：当DHCP客户端首次登录网络时，它会向网络发送一个DHCPDISCOVER数据包。因为客户端还不知道自己属于哪一个网络，所以发送数据包的源地址标记为，而目的地址为55，然后附上DHCPDISCOVER的信息，向网络广播。预设的DHCPDISCOVER等待时间为1s，如果在1s之内没有得到响应，就会进行第二次DHCPDISCOVER广播。在这期间﹐客户端会发送四次DHCPDISCOVER广播（包括第一次在内），除第一次等待1s以外，其余三次的等待时间依次是9s﹑13s﹑16s。如果都没有得到DHCP服务器的响应，客户端则会显示错误信息，宣告DHCPDISCOVER广播失败。之后，基于使用者的选择，系统会继续在5min之后再重复一次DHCPDISCOVER广播的过程。16.1.2DHCP的工作过程1.继承的概念1.什么是异常DHCP的工作过程提供IP租用地址：当DHCP服务器监听到客户端发出的DHCPDISCOVER广播后，它会从那些还没有租出的IP地址范围内选择最前面的空闲IP地址，连同其他TCP/IP设定，回应给客户端一个DHCPOFFER数据包。由于客户端在开始的时候还没有IP地址，因此在其DHCPDISCOVER数据包内会带有MAC地址信息，并且有一个XID编号用来辨别该数据包，DHCP服务器响应的DHCPOFFER数据包则会根据这些资料传递给要求租约的客户端。根据服务端的设定，DHCPOFFER数据包会包含一个租约期限的信息。16.1.2DHCP的工作过程1.什么是异常DHCP的工作过程接受IP地址租约：如果客户端收到网络上多台DHCP服务器的响应，则只会挑选其中一个DHCPOFFER数据包（通常是最先抵达的那个），并且会向网络发送一个DHCPREQUEST广播数据包，告诉所有DHCP服务器它将接收哪一台服务器提供的IP地址。同时，客户端会向网络发送一个ARP封包，查询网络上有没有其他机器使用该IP地址；如果发现该IP地址已经被占用，客户端则会给DHCP服务器发送一个DHCPDECLINE数据包，拒绝接收其DHCPOFFER数据包，并重新发送DHCPDISCOVER数据包。租约确认：当DHCP服务器接收客户端的DHCPREQUEST广播数据包之后，会向客户端发送一个DHCPACK响应，以确认IP地址租约正式生效。至此，也就结束了一个完整的DHCP工作过程。16.1.2DHCP的工作过程1.什么是异常DHCP的工作过程客户机取得IP地址租约后，即可使用该IP地址进行网络配置。若采用“自动分配”的方式，则客户端每次登录网络时都需要通过以上步骤获取IP地址；而若采用“动态分配”的方式，则DHCP客户机必须定期更新租约，否则当租期到期时，就不能再使用此IP地址了。按照RFC2131的默认规定，每当租期超过租约的50%或87.5%时，客户机就必须发送DHCPREQUEST数据包，向DHCP服务器请求更新租约。在更新租约时，DHCP客户机将以单点传送方式发送DHCPREQUEST数据包，不再进行广播。16.1.2DHCP的工作过程1.什么是异常DHCP的工作过程具体过程：（1）在租期超过50%时，DHCP客户机直接向为其提供IP地址的DHCP服务器发送DHCPREQUEST请求包，如果收到服务器的DHCPACK确认包，则租期更新完成，如果没有收到服务器发送的DHCPACK确认包，仍可继续使用，但要在租期超过87.5%时再次申请更新租约。（2）在租期超过87.5%时，DHCP客户机再次向为其提供IP地址的DHCP服务器发送DHCPREQUEST数据包，若仍未得到确认，则当IP地址租期到期时应放弃该IP地址，重新开始IP地址租用过程。16.1.2DHCP的工作过程1.什么是异常DHCP的工作过程具体过程：（1）在租期超过50%时，DHCP客户机直接向为其提供IP地址的DHCP服务器发送DHCPREQUEST请求包，如果收到服务器的DHCPACK确认包，则租期更新完成，如果没有收到服务器发送的DHCPACK确认包，仍可继续使用，但要在租期超过87.5%时再次申请更新租约。（2）在租期超过87.5%时，DHCP客户机再次向为其提供IP地址的DHCP服务器发送DHCPREQUEST数据包，若仍未得到确认，则当IP地址租期到期时应放弃该IP地址，重新开始IP地址租用过程。16.1.2DHCP的工作过程1.什么是异常DHCP的工作过程DHCP安装与服务管理16.216.2.1软件安装1.继承的概念1.什么是异常DHCP服务器软件安装Fedora、OpenEuler和Ubuntu提供的DHCP服务器软件包分别为dhcp-server、dhcp和isc-dhcp-server，CentOSStream10没有直接提供DHCP服务器软件包，但可使用dnsmasq作为替代包。若将以上DHCP服务器软件包名存入变量PKG，则安装方法为：#dnfinstall$PKG-y #Fedora:PKG=dhcp-server、CentOS:PKG=dnsmasq、OpenEuler:PKG=dhcp#aptinstall$PKG-y #Ubuntu:PKG=isc-dhcp-server16.2.1软件安装1.继承的概念1.什么是异常Ubuntu系列Ubuntu系统DHCP服务器安装方法：#sudoaptinstallisc-dhcp-server-y16.2.1软件安装1.继承的概念1.什么是异常服务管理Fedora和OpenEuler的DHCPv4服务名为dhcpd.service，CentOSStream10和Ubuntu的分别为dnsmasq.service和isc-dhcp-server.service。为了方便起见，将这些服务主名存入变量SRV。于是，完整的服务名可统记为${SRV}.service，与之相应的DHCPv6服务名则为${SRV}6或${SRV}6.service。（1）启用与禁用systemctlenable${SRV} #Fedora,OpenEuler:dhcpd、CentOS:dnsmasq、Ubuntu:isc-dhcp-serversystemctldisable${SRV} #禁用（3）启动、停止和重启systemctlstart${SRV} #启动systemctlstop${SRV} #停止systemctlrestart${SRV} #修改配置后重启（2）检查状态systemctlstatus${SRV} #需要时使用DHCP服务器配置16.318.3.1DHCP配置文件配置文件位置DHCP服务的配置目录为/etc/dhcp/，红帽和Ubuntu的IPv4配置文件为/etc/dhcp/dhcpd.conf。Fedora的IPv4配置文件/etc/dhcp/dhcpd.conf的内容为：#DHCPServerConfigurationfile.#see/usr/share/doc/dhcp-server/dhcpd.conf.example#seedhcpd.conf(5)manpage上面给出了部分内容，完整内容请参见/usr/share/doc/dhcp-server/dhcpd.conf.example或man5dhcpd.conf。而Ubuntu的IPv4配置文件是一个模板，其中的具体配置是被注释掉的，其内容请参阅/usr/share/doc/isc-dhcp-server/dhcpd.conf.example等文件。也就是说，当安装了DHCP服务器软件包后，系统就提供了一个配置模板文件。当需要使用时，可参照模板文件修改配置文件/etc/dhcp/dhcpd.conf。18.3.2配置语法：定义、参数与选项定义定义也叫声明，用于描述网络布局、提供给客户端的IP地址等。定

义功

能shared-network名称

{...}定义超级作用域subnet网络号

netmask子网掩码

{...}定义作用域（或IP子网）range起始IP地址

终止IP地址定义作用域（或IP子网）地址范围host主机名

{...}定义特殊设置的主机group{...}定义一组参数pool{…}定义地址池参数参数是可选的或控制DHCP服务器行为的量和值，下表给出了常用的定义及其解释。18.3.2配置语法：定义、参数与选项参

数意

义ddns-update-style类型定义所支持的DNS动态更新类型（可选项有ad-hoc、interim和none），只用于全局allow/ignoreclient-updates允许/忽略客户机更新DNS记录，只用于全局default-lease-time数字指定默认的租约期限

max-lease-time数字指定最长租约期限

hardware硬件类型

MAC地址指定网卡接口类型和MAC地址

server-name主机名通知DHCP客户机服务器的主机名fixed-addressIP地址分配给客户端一个固定的IP地址选项选项是用来配置DHCP客户端的可选参数，它们用option关键字作为开头。18.3.2配置语法：定义、参数与选项选

项意

义subnet-mask子网掩码为客户端指定子网掩码domain-name“域名”为客户端指定域名domain-name-serverIP地址为客户端指定域名服务器的IP地址host-name“主机名”为客户端指定主机名routersIP地址为客户端指定默认网关broadcast-address广播地址为客户端指定广播地址netbios-name-serversIP地址为客户端指定WINS服务器的IP地址netbios-node-type节点类型为客户端指定节点类型ntp-serverIP地址为客户端指定网络时间服务器的IP地址nis-serversIP地址为客户端指定NIS域服务器的IP地址nis-domain“名称”为客户端指定所属NIS域的名称18.3.3配置举例配置示例测试首先关闭其他的DHCP服务器。在本DHCP服务端，若已经启用并启动了DHCP服务，则在修改配置后需要重启DHCP服务，否则需要启用并启动DHCP服务。修改同一子网中的某客户端主机的网络IPv4配置为“自动（DHCP）”，然后重启网络。若配置没有问题，就可以得到自动分配的IP地址，此时可用hostname-I或ifconfig命令来查询。18.3.2配置语法：定义、参数与选项关于对dnsmasq的说明以上配置格式只适用于DHCP服务而不适用于dnsmasq服务。对于dnsmasq服务，可将以下配置信息存放在/etc/dnsmasq.d/dhcpdpools.conf文件中，然后重启dnsmasq服务来实现配置。interface=ens160#ens160为网络接口。查询命令：nmclic|grep-E'((enp)|(ens))'|awk'{print$1}'bind-interfacesdhcp-range=0,00,12h #以下为DHCP配置dhcp-range=50,00,12hdhcp-option=option:router,dhcp-option=option:netmask,#dhcp-option=option:broadcast,55dhcp-option=option:domain-name,"linux.study"dhcp-option=option:dns-server,,dhcp-host=12:34:56:78:AB:CD,0,pc1 #pc1的静态地址绑定18.3.2配置语法：定义、参数与选项DHCP规划16.416.4.1在不同的网络中使用DHCP小型网络中DHCP的部署在只有一个子网的小型网络中，可使用单一的DHCP服务器为网络中的主机提供服务，应考虑以下因素：（1）网络中提供特殊服务的服务器（DNS、FTP或HTTP等）应该采用静态IP地址。（2）不同的网络服务应该由不同的服务器提供，此方法可以实现在某个网络服务停止时其他服务器仍然可以正常工作，以此来提高网络的可用性和安全性。16.4.1在不同的网络中使用DHCP大型网络中DHCP的部署在大型网络中，由于主机数目较多、网络结构相对复杂、网络应用多、网络的安全性要求较高等，因此DHCP的部署较为复杂。在网络中物理子网划分的数量以及路由器的位置将对DHCP性能的发挥产生非常明显的影响，因为广播包在物理子网之间的传输和对路由器的跨越是比较困难的。在大型网络中，通常会采用路由器将网络划分为多个物理子网，而路由器的主要功能就是屏蔽子网间的广播，减少网络带宽占用，提高网络性能。如果子网中没有一台DHCP服务器，那么该子网中的主机将没有办法跨越子网来定位DHCP服务器，也就无法获得IP地址。要想解决这种问题，可以采用以下两种方法。16.4.1在不同的网络中使用DHCP大型网络中DHCP的部署（1）为每一个子网配置一台DHCP服务器，这样可以便于每个子网中的主机获取IP地址，该方法的不足之处是网络管理将会有一定的麻烦。（2）在每个子网中设定一个DHCP中继代理。网络中的客户机将IP地址请求发送给DHCP中继代理，由DHCP中继代理向DHCP服务器发送请求，并将获得的IP地址返回DHCP客户机。16.4.2设置DHCP中继设置DHCP中继DHCP中继代理允许将无DHCP服务器子网内的DHCP客户机的DHCP请求转发给其他子网的一台或多台DHCP服务器。当某台DHCP客户机发出请求信息时，DHCP中继代理把该请求转发给其启动时所设定的DHCP服务器，当DHCP服务器返回应答时，该应答被广播或单播给发出请求的客户机所在的网络。需要注意的是，DHCP中继代理应该具有静态IP地址。若要使用DHCP中继，则需要安装DHCP中继及相关软件包。在红帽系列系统下，该软件包为dhcp-relay，在Ubuntu系统下该软件包为isc-dhcp-relay，它们所对应的服务分别为dhcrelay.service和isc-dhcp-relay.service（isc-dhcp-relay6.service）。用户可根据需要，安装并使用它们。概述在一个具有大量主机和子网的大型网络中，DHCP的冗余是一个非常关键的问题。由于DHCP服务器承担着为全网主机分配IP地址的责任，如果不考虑DHCP的冗余，则只需要再为每个子网设置一台DHCP服务器，也不需要使用DHCP中继代理，但要考虑安全性问题，一旦DHCP服务器出现故障，则整个网络中的主机就都不能访问网络资源。为解决此问题，可以通过同时配置多台DHCP服务器来相互实现冗余，以保证网络的可用性。但由于DHCP服务器本身并不提供备份功能，所以容错能力只能通过将不同的IP地址段分发到不同的DHCP服务器上来实现，让多台不同的DHCP服务器为同一个网络提供DHCP服务。最可行的解决方案就是在两个子网的DHCP服务器上相互为对方的子网提供DHCP服务，然后通过设置DHCP中继代理或路由器来转发DHCP广播包以达到冗余的目的，从而保证DHCP服务的可用性和安全性。16.4.3设置备份DHCP两个网络DHCP服务器设置#子网中的DHCP服务器的设置如下：subnet netmask{ range0 00;}subnet netmask{ range01 00;}#子网中的DHCP服务器的设置如下：subnet netmask{ range0 00;}subnet netmask{ range01 00;}以上两台DHCP服务器均能为两个网络上的客户机提供DHCP服务，以实现DHCP的冗余。16.4.3设置备份DHCP与防火墙和SELinux的关系16.5防火墙设置IPv4和IPv6dhcp客户端和服务器的使用都必须得到防火墙的允许。1）firewalld防火墙#firewall-cmd--permanent--add-service=dhcp #IPv4：(永久)添加dhcp客户及服务端#firewall-cmd--permanent--add-service=dhcpv6 #IPv6服务端：添加dhcp服务#firewall-cmd--permanent--add-service=dhcpv6-client #IPv6客户端#firewall-cmd--reload #重载防火墙规则16.5.1防火墙与SELinux配置2）ufw防火墙#ufwallowbootps