计算机网络教程课件 11 DHCP

第11章DHCP静态地址和动态地址DHCP协议DHCP工作过程实战：将路由器配置为DHCP服务实战：使用接口地址池为直连网段分配地址实战：跨网段分配IP地址DHCP客户端的配置主要内容为计算机配置IP地址有两种方式一种是人工指定IP地址、子网掩码、网关和DNS等配置信息，这种方式获得的IP地址称为静态地址另一种是使用DHCP服务器为计算机分配IP地址、子网掩码、网关和DNS配置信息，这种方式获得的地址称为动态地址。11.1静态地址和动态地址1.服务器：企业或组织的服务器通常需要静态IP地址，以便客户端能够始终准确地访问它们。2.网络打印机：为了让多台计算机能够稳定地连接和使用网络打印机，通常会为其分配静态IP地址。3.监控系统：监控设备（如摄像头）可能会被分配静态IP地址，以确保远程监控的连续性和稳定性。4.企业内部关键设备：如门禁系统、重要的生产设备控制系统等，以保证稳定的网络连接和管理。使用静态地场景1.家庭网络中的大多数设备：如个人电脑、手机、平板电脑等，通常使用动态IP地址，因为在家庭环境中，对地址的稳定性要求相对较低，且可以更有效地利用有限的IP地址资源。2.公共场所的无线网络：例如咖啡店、机场等提供的无线网络，用户设备通常被分配动态IP地址。3.临时连接的设备：如访客的设备在企业或组织的网络中临时连接时，可能会被分配动态IP地址。动态地址的场景静态IP地址：1.更容易成为攻击目标：由于静态IP地址保持不变，攻击者更容易识别和定位目标，从而增加了遭受定向攻击的风险。2.追踪和溯源相对容易：对于安全机构或管理员来说，在发生安全事件时，静态IP有助于更快速和准确地追踪和溯源。3.潜在的漏洞暴露时间长：如果系统存在与特定IP相关的漏洞且未及时修复，由于IP不变，攻击者有更长时间利用该漏洞。静态IP地址和动态IP地址在网络安全方面的影响动态IP地址：1.降低被定向攻击的可能性：频繁变化的IP地址使得攻击者难以持续锁定目标，降低了被针对性攻击的风险。2.增加攻击者的难度：动态IP使得攻击者难以建立长期的攻击策略和监控目标，增加了他们的攻击成本和复杂性。3.减少潜在的长期漏洞利用：由于IP不断变化，即使存在未修复的漏洞，攻击者利用的机会窗口也相对较短。静态IP地址和动态IP地址在网络安全方面的影响DHCP（DynamicHostConfigurationProtocol，动态主机配置协议）是一种网络协议，其可以实现自动为网络中的设备分配IP地址、子网掩码、默认网关、DNS服务器等网络配置信息。11.2DHCP协议简化网络配置管理：管理员无需为每个设备手动配置网络参数，减少了管理工作量和出错的可能性。有效利用IP地址资源：通过动态分配，可以在一定程度上避免IP地址的浪费，提高IP地址的利用率。方便设备接入网络：新设备接入网络时能够自动获取所需的网络配置，快速实现网络连接。使用DHCP自动分配地址的好处当DHCP服务器不可用时，Windows操作系统会自动专用IP寻址（APIPA）。Windows系统在无法从DHCP服务器获取IP地址时，会自动从地址范围169.254.0.0到169.254.255.255中选择一个IP地址，并使用子网掩码255.255.0.0。客户端会定期尝试重新联系DHCP服务器以获取合法的IP地址配置。DHCP工作示意（1）DHCPDiscover（DHCP发现）。（2）DHCPOffer（DHCP提供）。（3）DHCPRequest（DHCP请求）。（4）DHCPACK（DHCP确认）。11.3DHCP工作过程WindowsServer、Linux服务器和华为路由器、三层交换机都可以配置为DHCP服务器。使用华为网络设备配置为DHCP服务器，就可以不用专门的Windows或Linux服务器作为DHCP服务器了。11.4.实战：将路由器配置为DHCP服务[AR1]dhcpenable--全局启用DHCP服务[AR1]ippoolvlan1--为VLAN1创建地址池[AR1-ip-pool-vlan1]network192.168.1.0mask24--指定地址池所在的网段[AR1-ip-pool-vlan1]gateway-list192.168.1.1--指定该网段的网关[AR1-ip-pool-vlan1]dns-list8.8.8.8--指定DNS服务器[AR1-ip-pool-vlan1]dns-list222.222.222.222--指定第二个DNS服务器[AR1-ip-pool-vlan1]leaseday0hour8minute0--地址租约，允许客户端使用多长时间[AR1-ip-pool-vlan1]excluded-ip-address192.168.1.1192.168.1.10--指定排除的地址范围Error:Thegatewaycannotbeexcluded.--不能包括网关[AR1-ip-pool-vlan1]excluded-ip-address192.168.1.2192.168.1.10--指定排除的地址范围[AR1-ip-pool-vlan1]excluded-ip-address192.168.1.50192.168.1.60--指定排除的地址范围[AR1-ip-pool-vlan1]displaythis--显示地址池的配置GigabitEthernet0/0/0接口从全局地址池选择地址[AR1]interfaceGigabitEthernet0/0/0[AR1-GigabitEthernet0/0/0]dhcpselectglobal输入displayippool以显示定义的地址池。<AR1>displayippool将路由器配置成DHCP<AR1>display

ip

pool

name

vlan1

used

抓包查看DHCP协议的工作过程以上操作将华为路由器配置为DHCP服务器，一个网段创建一个地址池，还为地址池指定了网段和子网掩码。如果路由器为直连网段分配地址，可以不用创建地址池，路由器接口已经配置了地址和子网掩码，可以使用接口所在的网段作为地址池的网段和子网掩码。11.5实战：使用接口地址池为直连网段分配地址[AR1]dhcp

enable

--全局启用DHCP服务[AR1]interface

GigabitEthernet

0/0/0[AR1-GigabitEthernet0/0/0]dhcp

select

interface

--从接口地址池选择地址[AR1-GigabitEthernet0/0/0]dhcp

server

dns-list

114.114.114.114[AR1-GigabitEthernet0/0/0]dhcp

server

?

--可以看到全部配置项

dns-list

Configure

DNS

servers

domain-name

Configure

domain

name

excluded-ip-address

Mark

disable

IP

addresses

……

lease

Configure

the

lease

of

the

IP

pool[AR1-GigabitEthernet0/0/0]dhcp

server

excluded-ip-address

192.168.1.2

192.168.1.20

--排除地址配置接口从接口地址池选择地址DHCP服务器也可以为非直连的网段分配IP地址11.6实战：跨网段分配IP地址在AR1上为研发部的网络创建地址池remoteNet。远程网段的地址池必须设置网关。[AR1]ip

pool

remoteNet [AR1-ip-pool-remoteNet]network

172.16.5.0

mask

24[AR1-ip-pool-remoteNet]gateway-list

172.16.5.1

--必须设置网关[AR1-ip-pool-remoteNet]dns-list

8.8.8.8

[AR1-ip-pool-remoteNet]lease

day

0

hour

2

minute

0[AR1-ip-pool-remoteNet]quit配置AR1的GigabitEthernet

1/0/0接口从全局地址池选择地址。[AR1]interface

GigabitEthernet

1/0/0[AR1-GigabitEthernet1/0/0]dhcp

select

global

[AR1-GigabitEthernet1/0/0]quit为非直连网段创建地址池在AR2路由器上启用DHCP功能，配置AR2路由器的GE0/0/1接口，启用DHCP中继功能，指明DHCP服务器的地址。[AR2]dhcp

enable --启用DHCP[AR2]interfaceGigabitEthernet0/0/1[AR2-GigabitEthernet0/0/1]dhcp

select

relay

--在接口启用DHCP中继