Debian DHCP中如何进行安全设置 - 问答

Debian DHCP 安全设置指南

一基础加固

仅监听必要接口：编辑 /etc/default/isc-dhcp-server，将 INTERFACESv4 设为需要提供服务的接口（如 “eth0”），避免在所有接口上监听。完成后重启服务并检查状态。
限制地址分配范围：在 /etc/dhcp/dhcpd.conf 的 subnet 中仅开放最小必要地址段（如 range 192.168.1.10 192.168.1.100），并配置网关、掩码、DNS 等选项，减少攻击面。
静态绑定关键主机：对服务器、网络设备使用 host … { hardware ethernet ; fixed-address ; }，避免地址被未知设备占用。
权威模式与租约策略：在顶层或对应 subnet 使用 authoritative; 拒绝非法/冲突请求；设置 default-lease-time 与 max-lease-time（如 600/7200 秒）以平衡地址回收与稳定性。
最小化服务与系统安全：仅安装并启用 isc-dhcp-server；保持系统与软件包更新（apt update && apt upgrade）；禁用不必要的网络服务与端口。

二网络与访问控制

防火墙精细化放行：仅允许受信网段访问 DHCP 端口（服务器 UDP 67，客户端 UDP 68）。示例：
- UFW：ufw allow from 192.168.1.0/24 to any port 67 proto udp；ufw allow from 192.168.1.0/24 to any port 68 proto udp。
- iptables：iptables -A INPUT -p udp --dport 67 -s 192.168.1.0/24 -j ACCEPT；iptables -A INPUT -p udp --sport 68 -j ACCEPT。
交换机侧防护：在接入交换机启用 DHCP Snooping，仅允许来自合法 DHCP 服务器的报文；结合 IP Source Guard 基于 DHCP Snooping 绑定表限制主机源 IP，抑制私设 IP 与欺骗。
主机接入控制：在 dhcpd.conf 使用 allow/deny 限制客户端，例如仅允许“已知客户端”获取地址（需与静态绑定或策略配合）。

三配置与日志

关闭动态 DNS 更新：在 dhcpd.conf 设置 ddns-update-style none; 与 ignore client-updates;，避免未经授权的 DNS 变更。
日志与审计：在 dhcpd.conf 设置 log-facility local7;，将日志统一到系统日志设施，便于集中审计与告警；定期查看 /var/log/syslog 与 /var/lib/dhcp/dhcpd.leases 核对地址分配与异常行为。
变更与回滚：修改 dhcpd.conf 后先语法检查（如 dhcpd -t），再重启服务；保留历史版本以便快速回滚。

四示例配置片段

# 全局权威与日志
authoritative;
log-facility local7;

# 关闭DDNS，禁止客户端更新DNS
ddns-update-style none;
ignore client-updates;

# 租约时间
default-lease-time 600;
max-lease-time 7200;

# 受管子网
subnet 192.168.1.0 netmask 255.255.255.0 {
    range 192.168.1.10 192.168.1.100;
    option routers 192.168.1.1;
    option subnet-mask 255.255.255.0;
    option domain-name-servers 192.168.1.2, 192.168.1.3;

    # 已知主机白名单示例
    host printer01 {
        hardware ethernet 00:11:22:33:44:55;
        fixed-address 192.168.1.50;
    }
}

应用与检查：

语法检查：dhcpd -t
重启服务：systemctl restart isc-dhcp-server
查看状态：systemctl status isc-dhcp-server
查看租约：tail -f /var/lib/dhcp/dhcpd.leases
查看日志：grep dhcpd /var/log/syslog

五运维与验证

定期更新与巡检：持续执行 apt update && apt upgrade；定期审计 dhcpd.conf 与租约文件，核对异常 MAC、重复 IP 与未知主机。
联动验证：在交换机上确认 DHCP Snooping 已启用且绑定表正常；在主机侧抓包验证仅与合法 DHCP 服务器交互（源/目的端口 68/67）。
变更窗口与回滚：在维护窗口实施变更，保留可回滚配置与命令历史，变更后第一时间进行连通性与地址分配验证。

0 赞

0 踩