日本服务器DHCP安全设置建议
2026-01-03 02:49:04 丨 来源：紫云
日本服务器 DHCP 安全设置建议
一 基础架构与端口规划
- 明确 DHCP 与 DNS 的分工：DHCP 负责下发 IP、子网掩码、网关、DNS 等参数，DNS 负责 域名 ↔ IP 解析，二者可独立部署。DHCP 使用 UDP 67/68，DNS 使用 UDP/TCP 53。跨网段需通过 DHCP 中继 转发请求。
- 日本节点建议：规划合理的 subnet/range 与 default-lease-time/max-lease-time，并与出口网关、NTP、内网服务网段统筹；在作用域选项中下发 日本本地或低时延 DNS，必要时配置多个以实现冗余。
- 动态更新（DDNS）：Windows 侧在 DNS 区域启用“动态更新=非安全/安全”，DHCP 加入域并具备权限；Linux（ISC DHCP）在 dhcpd.conf 中配置 ddns-update-style interim; ignore client-updates; 并配置 key/TSIG 与区域权限，确保 A/PTR 成对一致。
二 服务器与系统加固
- 保持软件为最新版本：例如 ISC DHCP 及时更新补丁（如 apt/yum 升级），降低已知漏洞风险。
- 严格文件权限：
- /etc/dhcp/dhcpd.conf：chmod 640，root:dhcpd
- /var/lib/dhcp/dhcpd.leases：chmod 640，dhcpd:dhcpd
- 绑定监听接口：在配置中仅监听必要接口（如 INTERFACESv4="eth0"），减少攻击面。
- 启用详细日志：在 dhcpd.conf 中设置 option log-facility local7;，并在 rsyslog 配置 local7.* /var/log/dhcpd.log，便于审计与取证。
- 地址冲突检测：开启 ping-check on; ping-timeout 2;，降低 IP 冲突与欺骗风险。
- 合理租约：例如 default-lease-time 600; max-lease-time 7200;，在可用性与滥用风险间取得平衡。
- 静态分配与白名单：对关键设备使用 MAC 绑定（固定 IP） 或 MAC 过滤，减少 IP 欺骗与未授权接入。
- 定期审计与更新：例行检查配置与日志、清理无效租约、持续更新系统与软件包。
三 交换机与二层防护
- 启用 DHCP Snooping：将与合法 DHCP 服务器相连的接口设为 信任，其余接口设为 非信任，丢弃非信任端口的 DHCP 响应，阻断仿冒 DHCP 服务器。
- 绑定表联动：基于 Snooping 绑定表生成接口 静态 MAC 或限制动态学习，仅放行匹配项，抑制 DHCP 报文泛洪/饿死攻击 与 仿冒 DHCP 报文。
- ARP 防护：结合 DHCP Snooping 绑定表 校验 ARP 报文，仅放行与绑定信息一致的报文，降低 中间人攻击 风险。
- 接入控制：配置设备或接口 最大 DHCP 用户数，超过阈值拒绝新分配，保护服务可用性。
- 端口隔离与环路抑制：对不需要互通的业务端口启用 端口隔离，并启用 流量/广播抑制，降低风暴与横向渗透风险。
四 防火墙与访问控制
- 最小化放行 DHCP：仅允许 UDP 67/68 的 DHCP 流量（服务器/中继与客户端方向按需放通），其余 DHCP 流量一律拒绝。
- 示例（iptables）：
- 允许 DHCP 服务器接收请求：iptables -A INPUT -p udp --dport 67:68 -j ACCEPT
- 其余来源丢弃：iptables -A INPUT -p udp --dport 67:68 -j DROP
- 边界与主机防火墙联动：在网关/主机防火墙统一策略，仅授权网段与必要服务可达 DHCP 服务。
- 传输加密：在需要高安全性的环境中，考虑 TLS/SSL 加密 DHCP 通信（结合支持该能力的实现与 PKI）。
五 监控 审计与日本节点优化
- 集中日志与告警：将 DHCP 日志（local7） 与系统/安全日志统一收集，关注异常 Discover/Request/Release、频繁 NAK、租约异常增长等。
- 租约与 DNS 对账：定期核对 租约数据库 与 DNS A/PTR 记录一致性，清理陈旧记录，确保日志、审计与访问控制可用。
- DDNS 安全：严格 TSIG 密钥 与 区域权限 控制，避免越权更新；必要时分离更新账号与查询账号。
- 日本本地优化：优先下发 日本本地/低时延 DNS，并配置多个 DNS 冗余；跨网段确保 DHCP 中继 正确指向服务器；变更（如网关/DNS）优先在 DHCP 统一下发，缩短收敛时间。
- 例行巡检：定期审查 配置文件、日志、租约、绑定表 与安全策略有效性，结合变更管理流程进行灰度与回滚预案。
