Linux DHCP服务器如何进行安全加固

Linux DHCP服务器安全加固清单

一 基础安全配置

• 限定监听接口与最小化配置：在 /etc/default/isc-dhcp-server 中仅启用需要的接口（如：INTERFACESv4=“eth0”），避免服务器在所有接口上应答；精简 /etc/dhcp/dhcpd.conf，仅保留必要子网、网关、DNS 等选项，减少攻击面。
• 权限最小化：配置文件与租约文件仅对必要用户可读写，例如：
  sudo chmod 640 /etc/dhcp/dhcpd.conf && sudo chown root:dhcpd /etc/dhcp/dhcpd.conf
  sudo chmod 640 /var/lib/dhcp/dhcpd.leases && sudo chown dhcpd:dhcpd /var/lib/dhcp/dhcpd.leases
• 版本与补丁：定期更新系统与 DHCP 软件包（如 isc-dhcp-server），及时修复已知漏洞。
• 日志与审计：在 dhcpd.conf 中启用本地日志设施（如：option log-facility local7;），并在 /etc/rsyslog.conf 中添加“local7. /var/log/dhcpd.log*”，持续审计租约与异常请求。

二 地址分配与访问控制

• 严格地址池：在子网中使用 range 精确限定可分配区间，避免覆盖静态主机、网关与保留地址；对关键设备使用 host + hardware ethernet + fixed-address 做静态绑定，减少 IP 欺骗与滥用。
• 租约策略：根据网络规模与安全需求设置 default-lease-time / max-lease-time（如 600/7200 秒），在人员流动大或高风险环境可适当缩短租约，降低被长期占用的风险。
• 准入控制：结合交换机 DHCP Snooping 的信任/非信任端口模型，仅允许上联/合法 DHCP 服务器所在端口为“信任”，其余端口丢弃 DHCP 报文，抑制“伪 DHCP 服务器”。
• 速率与总量限制：在交换机侧启用 DHCP 报文速率检测/限速 与 最大客户端数量 限制，缓解“DHCP 饿死”与 DoS 风险。

三 网络层与主机加固

• 防火墙精细化：仅放行 DHCP 服务端口，示例（iptables）：
  sudo iptables -A INPUT -p udp --dport 67 -s 192.168.1.0/24 -j ACCEPT
  sudo iptables -A INPUT -p udp --dport 68 -s 192.168.1.0/24 -j ACCEPT
  sudo iptables -A INPUT -p udp --dport 67 -j DROP
  sudo iptables -A INPUT -p udp --dport 68 -j DROP
  如使用 firewalld，可仅对受管网段开放 DHCP 服务。
• ARP 防护：在交换机启用 DAI（动态 ARP 检查） 并与 DHCP Snooping 绑定表联动，仅放行与绑定表一致的 ARP 报文，抑制 ARP 欺骗与中间人攻击。
• 二层准入：部署 802.1X 对终端进行身份认证，未通过认证的端口不分配 IP，从源头减少恶意 DHCP 请求。

四 监控 应急响应与常见误区

• 实时监控与告警：持续 tail /var/log/dhcpd.log，关注异常大量 Discover/Request、频繁续租失败、未知 MAC 大量出现等迹象；结合系统日志与网络监控建立基线告警。
• 配置与租约巡检：定期核对 dhcpd.conf 与 dhcpd.leases，检查是否存在异常静态绑定、异常租约与未授权选项下发。
• 高可用与变更管理：关键网络建议部署主备 DHCP（如故障转移/多台分布），变更前备份配置与租约文件，变更后灰度验证并保留回滚方案。
• 常见误区：
  • 忽视交换机侧 DHCP Snooping/DAI/速率限制 导致伪服务器与 ARP 欺骗难以根治；
  • 防火墙过度放行或放错方向，导致外部可伪造 DHCP 报文；
  • 静态绑定信息泄露或被滥用，需与资产台账、变更流程联动管控。